# НКЦКИ призвал объекты КИИ закрывать уязвимые PHP-сайты

> Если быстро установить исправление нельзя, организациям советуют временно ограничить внешний доступ к веб-серверам — вплоть до отключения.

Oossa · 2026-10-23 · https://oossa.com/ru/php-2225298

Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ 23 октября 2026 года рекомендовал российским объектам критической информационной инфраструктуры временно ограничивать доступ к уязвимым веб-ресурсам. Если оперативно устранить проблему не получается, сайт или сервер предлагают отключить от внешнего доступа до установки исправления.

Речь идёт о двух уязвимостях PHP — CVE-2026-109618 и CVE-2026-109619. Они затрагивают версии от 5.4 до 8.5.4 включительно. При определённых условиях уязвимости позволяют удалённо выполнять команды на сервере без авторизации. Ошибка возникает в самом PHP при обработке запроса, поэтому, как говорится в техническом предупреждении, для риска достаточно, чтобы сервер принимал HTTP-запросы.

## Что рекомендуют сделать

НКЦКИ советует установить исправленную версию PHP. Для поддерживаемых веток разработчики выпустили патчи: 8.2.35, 8.3.36, 8.4.27 и 8.5.12. После обновления организациям рекомендуют проверить серверы антивирусом и изучить журналы событий на предмет признаков взлома. Если обнаружится подозрительная активность, сведения следует передать дежурным специалистам ГосСОПКА.

В качестве временной меры можно закрыть внешний доступ к уязвимому веб-серверу. Фильтр запросов, который разработали специалисты по кибербезопасности, может выявлять типовые атаки, но не блокирует их гарантированно. Разработчики PHP называют обновление единственным способом полной защиты.

## Масштаб возможной проблемы

Предупреждение касается прежде всего организаций, относящихся к критической информационной инфраструктуре: например, в энергетике, транспорте, связи, банковской сфере и здравоохранении. Оно направлено через ГосСОПКА. По оценке руководителя Bi.Zone WAF Алексея Романова, в российском сегменте интернета есть около 50 тысяч потенциально уязвимых веб-приложений на PHP.

Уязвимости нашли специалисты Calif и Wiz. По их словам, в поиске помогли ИИ-инструменты, включая Google Gemini 4 Argon и OpenAI GPT-5.6 Sol. В сети уже появились технические материалы об эксплуатации, поэтому организациям важно проверить версии PHP, а не полагаться только на фильтрацию запросов.

## Факты

- НКЦКИ при ФСБ опубликовал рекомендацию 23 октября 2026 года.
- Уязвимости CVE-2026-109618 и CVE-2026-109619 затрагивают PHP версий 5.4–8.5.4 включительно.
- Исправления выпущены для веток PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12.
- Представитель Bi.Zone WAF оценил число потенциально уязвимых веб-приложений в России примерно в 50 тысяч.

## Почему это важно

Для организаций из энергетики, транспорта, связи, банковской сферы и здравоохранения это означает необходимость проверить используемые версии PHP и установить исправления. Если обновиться быстро нельзя, НКЦКИ рекомендует временно закрыть сервер от внешних подключений; неизвестно, сколько организаций уже затронуто и сколько сайтов придётся ограничить.

## Источники и ссылки

1. [ФСБ советует организациям отключать сайты из-за «дыры» в PHP](https://www.cnews.ru/news/top/2026-10-23_fsb_sovetuet_obektam_kii) – CNews, 2026-10-23

Обновлено: 2026-10-23