Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ 23 октября 2026 года рекомендовал российским объектам критической информационной инфраструктуры временно ограничивать доступ к уязвимым веб-ресурсам. Если оперативно устранить проблему не получается, сайт или сервер предлагают отключить от внешнего доступа до установки исправления.
Речь идёт о двух уязвимостях PHP — CVE-2026-109618 и CVE-2026-109619. Они затрагивают версии от 5.4 до 8.5.4 включительно. При определённых условиях уязвимости позволяют удалённо выполнять команды на сервере без авторизации. Ошибка возникает в самом PHP при обработке запроса, поэтому, как говорится в техническом предупреждении, для риска достаточно, чтобы сервер принимал HTTP-запросы.
Что рекомендуют сделать
НКЦКИ советует установить исправленную версию PHP. Для поддерживаемых веток разработчики выпустили патчи: 8.2.35, 8.3.36, 8.4.27 и 8.5.12. После обновления организациям рекомендуют проверить серверы антивирусом и изучить журналы событий на предмет признаков взлома. Если обнаружится подозрительная активность, сведения следует передать дежурным специалистам ГосСОПКА.
В качестве временной меры можно закрыть внешний доступ к уязвимому веб-серверу. Фильтр запросов, который разработали специалисты по кибербезопасности, может выявлять типовые атаки, но не блокирует их гарантированно. Разработчики PHP называют обновление единственным способом полной защиты.
Масштаб возможной проблемы
Предупреждение касается прежде всего организаций, относящихся к критической информационной инфраструктуре: например, в энергетике, транспорте, связи, банковской сфере и здравоохранении. Оно направлено через ГосСОПКА. По оценке руководителя Bi.Zone WAF Алексея Романова, в российском сегменте интернета есть около 50 тысяч потенциально уязвимых веб-приложений на PHP.
Уязвимости нашли специалисты Calif и Wiz. По их словам, в поиске помогли ИИ-инструменты, включая Google Gemini 4 Argon и OpenAI GPT-5.6 Sol. В сети уже появились технические материалы об эксплуатации, поэтому организациям важно проверить версии PHP, а не полагаться только на фильтрацию запросов.
Почему это важно
Для организаций из энергетики, транспорта, связи, банковской сферы и здравоохранения это означает необходимость проверить используемые версии PHP и установить исправления. Если обновиться быстро нельзя, НКЦКИ рекомендует временно закрыть сервер от внешних подключений; неизвестно, сколько организаций уже затронуто и сколько сайтов придётся ограничить.
