НКЦКИ потребовал срочно закрыть критические уязвимости PHP

Национальный координационный центр по компьютерным инцидентам (НКЦКИ), действующий при ФСБ России, потребовал от операторов критической информационной инфраструктуры срочно устранить две критические уязвимости в PHP. Если установить исправления быстро невозможно, организациям рекомендовано ограничить внешний доступ к уязвимым серверам — вплоть до их полного отключения.

О письме НКЦКИ 22 октября сообщил РБК. Подлинность документа подтвердили три организации, получившие предупреждение через государственную систему ГосСОПКА. Оно касается инфраструктуры государственных органов, банков, операторов связи, энергетических и транспортных компаний, медицинских организаций и других операторов КИИ.

Помимо обновления PHP, получателям предписано провести антивирусную проверку серверов, изучить журналы на предмет признаков компрометации и сообщать о подозрительных инцидентах. Особенность ситуации в России заключается не только в масштабе угрозы, но и в том, что указания по обновлению конкретного программного обеспечения поступили непосредственно от структуры ФСБ.

Что известно об уязвимостях PHP2Shell

Речь идёт об уязвимостях CVE-2026-109618 и CVE-2026-109619, получивших общее название PHP2Shell. Обе имеют оценку 9,2 балла по шкале CVSS 4.0 и при определённых условиях позволяют выполнять произвольный код на сервере без авторизации.

Разработчики PHP выпустили исправления 21 октября. Патчи вошли в версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12. При этом проблема относится непосредственно к интерпретатору PHP, а не к отдельным системам управления сайтами. Обновление WordPress, Drupal, Joomla или «1С-Битрикс» само по себе не устраняет уязвимость.

Отдельные исправления подготовил чешский разработчик Ондржей Сура, сопровождающий популярные репозитории PHP для Debian и Ubuntu. Уже 21 октября он опубликовал обновления для 12 веток, включая давно неподдерживаемые PHP 5.6, 7.0–7.4 и 8.0–8.1. Эти бэкпорты позволяют временно снизить риск без немедленной миграции на новую версию, однако разработчики PHP считают такой вариант минимальной защитной мерой, а не заменой переходу на поддерживаемую ветку.

Почему отключали сайты по всему миру

PHP используется примерно на 69,3% сайтов в мире и на 90,8% русскоязычных ресурсов, где удалось определить серверный язык программирования, по данным W3Techs. Это не означает, что все такие сайты уязвимы, но показывает потенциальный масштаб проблемы.

После раскрытия информации о PHP2Shell государственные и коммерческие организации в разных странах начали временно ограничивать доступ к сервисам. В Нидерландах отключали государственные порталы Overheid.nl и MijnOverheid.nl, систему электронной идентификации DigiD, а также сайты больниц, порта Роттердама и национальной футбольной ассоциации. Ограничения вводили также во Франции, Германии, Финляндии, Бельгии и Чехии.

В Японии меры затронули Министерство финансов, налоговую службу, авиакомпанию ANA, железнодорожного оператора East Japan Railway, брокерскую компанию Nomura и банковскую группу Mitsubishi UFJ. О временном отключении части систем сообщали Wikimedia Foundation, Internet Archive и французский оператор Orange. В большинстве случаев это были превентивные меры, а не подтверждённые взломы.

При этом угроза быстро перешла из теоретической в практическую. Cloudflare зафиксировала рост числа попыток эксплуатации с нескольких тысяч до публикации сведений о проблеме до миллионов после раскрытия информации. Компания заранее внедрила защитные правила WAF, но подчёркивает, что они не заменяют обновление PHP. Финский государственный ИТ-оператор Valtori предупреждал: восстановление некоторых сервисов может занять дни или недели, поскольку после установки патчей необходимо проверить работу систем.

В России временно отключало сайт независимое издание «7×7». Главный редактор Олег Григоренко объяснил это необходимостью предотвратить несанкционированный доступ к данным. Позднее ресурс восстановили после проверки безопасности и устранения уязвимостей.

Обновление PHP может потребовать дополнительных расходов

Для организаций с устаревшей инфраструктурой установка исправлений не всегда сводится к одной команде в терминале. Перед обновлением требуется проверить совместимость, сделать резервные копии, согласовать окно обслуживания и убедиться, что после смены версии продолжат работать сайт, интеграции и внутренние сервисы.

Сложности возникают и в случае коммерческого программного обеспечения. Если переход на безопасную версию PHP требует обновления CMS, организации могут столкнуться с дополнительными расходами. Например, для получения обновлений «1С-Битрикс: Управление сайтом» необходим действующий период обновлений. Если с момента его окончания прошло более месяца, стандартное продление стоит 60% стоимости соответствующей редакции продукта.

Не менее сложен сценарий, при котором разработчик прекратил поддержку продукта или совместимость новой версии ещё не проверена. Тогда организации приходится выбирать между риском эксплуатации уязвимости, затратным обновлением всей связки ПО и временным отключением сервиса. При этом не всегда очевидно, кто отвечает за простой системы, возникший после выполнения требований безопасности.

Само требование срочно устранять критические уязвимости выглядит обоснованным: после публичного раскрытия информации злоумышленники быстро наращивают активность. Однако между выпуском патча и его безопасным внедрением в промышленной среде часто находятся тестирование, резервное копирование, согласования и финансовые решения.

Пока предупреждение НКЦКИ относится к операторам критической инфраструктуры и не означает введения всеобщего контроля обновлений для владельцев российских сайтов. Но этот случай показывает, что государственная координация кибербезопасности всё теснее соприкасается с повседневной эксплуатацией программного обеспечения. В дальнейшем ключевым вопросом станет не только то, обязаны ли организации закрывать уязвимости, но и кто поможет им решить технические и финансовые проблемы, возникающие при таком обновлении.