В одном из самых распространённых языков программирования для веб-разработки — PHP — обнаружены две критические уязвимости, позволяющие злоумышленникам получать удалённый доступ к серверам. На фоне угрозы государственные учреждения ряда европейских стран временно отключили сайты. Разработчики уже выпустили исправления и призвали владельцев веб-ресурсов срочно обновить программное обеспечение.

Как сообщает Reuters, 21 октября правительственные учреждения в Нидерландах и Финляндии оказались среди организаций, временно отключивших отдельные сайты в целях безопасности.

Проблема затрагивает PHP — язык программирования, который широко используется для работы веб-сайтов и онлайн-сервисов, включая проекты на WordPress, Drupal, Joomla и Magento.

По данным W3Techs, PHP используется почти на 70% сайтов, для которых удалось определить серверный язык программирования. Однако это не означает, что все эти сайты имеют обнаруженные уязвимости.

Насколько опасны обнаруженные уязвимости

Разработчики PHP подтвердили наличие двух критических проблем безопасности:

• CVE-2026-109618;
• CVE-2026-109619.

Обе уязвимости получили оценку 9,2 балла из 10 по шкале CVSS 4.0, что соответствует критическому уровню опасности.

Проблемы позволяют при определённых условиях удалённо выполнять вредоносный код на уязвимом сервере без предварительной авторизации.

Успешная эксплуатация таких уязвимостей создаёт риск несанкционированного доступа к данным и нарушения работы веб-ресурсов.

Особую обеспокоенность вызывает распространённость PHP. На этом языке работают не только информационные сайты, но и многочисленные интернет-магазины, корпоративные системы и другие веб-приложения.

В Европе начали отключать сайты

На фоне предупреждений специалистов по кибербезопасности некоторые организации приняли решение временно ограничить доступ к своим интернет-ресурсам.

По информации Reuters, профилактические отключения затронули государственные сайты, а также отдельные образовательные и медицинские учреждения.

Европейская служба реагирования на компьютерные инциденты CERT-EU рекомендовала организациям, которые не могут оперативно установить исправления, рассмотреть возможность временной изоляции уязвимых систем от публичных сетей.

Власти и специалисты по кибербезопасности призвали операторов веб-ресурсов уделить первоочередное внимание серверам, доступным из интернета.

Разработчики PHP выпустили экстренные обновления

21 октября команда PHP выпустила исправления для поддерживаемых веток программного обеспечения.

Уязвимости устранены в следующих версиях:

• PHP 8.5.12;
• PHP 8.4.27;
• PHP 8.3.36;
• PHP 8.2.35.

Разработчики настоятельно рекомендуют установить обновления без промедления.

Особое внимание необходимо уделить серверам, обслуживающим веб-запросы, в том числе конфигурациям на базе PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.

По данным команды PHP, наибольшая опасность установлена для конфигураций с mod_php, где продемонстрирована возможность эксплуатации уязвимости без авторизации.

Какую роль сыграл искусственный интеллект

В обнаружении проблем безопасности использовались инструменты искусственного интеллекта.

Компания Calif выявила одну из критических уязвимостей с применением модели GPT-5.6 Sol в рамках инициативы Patch the Planet. Компания Wiz независимо обнаружила обе уязвимости и сообщила о них разработчикам.

После выявления проблем специалисты участвовали в координации мер защиты и подготовке исправлений до публичного раскрытия информации.

Что это означает для интернет-магазинов и онлайн-сервисов

Обнаруженные проблемы имеют значение для компаний, использующих PHP в своей интернет-инфраструктуре.

В частности, язык применяется в системах управления контентом, платформах электронной коммерции и других веб-приложениях.

Уязвимости обнаружены непосредственно в PHP, поэтому проблема не ограничивается какой-либо одной системой управления сайтами.

Разработчики WordPress отдельно подчеркнули, что для устранения угрозы необходимо обновление серверной версии PHP, а не самой системы WordPress.

Владельцам сайтов рекомендуется проверить используемую версию PHP, обратиться к хостинг-провайдеру и установить соответствующие обновления безопасности.

При невозможности оперативного обновления специалисты рекомендуют рассмотреть временное ограничение внешнего доступа к уязвимым системам.