ФСБ советует организациям отключать сайты из-за «дыры» в PHP
Федеральная служба безопасности (ФСБ) России порекомендовала организациям критической инфраструктуры временно ограничивать или полностью отключать доступ к уязвимым сайтам, если нельзя быстро устранить проблемы безопасности. Причиной стали две критические уязвимости в PHP, обнаруженные с помощью нейронных сетей. Они позволяют хакерам выполнять команды на сервере без авторизации и получать доступ к данным. Об этом сообщает «СNews».
«В российском сегменте интернета обнаружено около 50 тыс. потенциально уязвимых веб-приложений на PHP. Организациям рекомендуется заранее проверить используемые версии PHP и подготовиться к установке обновлений сразу после их выхода», — предупредил руководитель платформы Bi.Zone WAF Алексей Романов.
Рекомендации включают обновление PHP, проверку серверов антивирусом и журналами, а также сообщение о подозрениях в ГосСОПКА. Если обновление невозможно, предлагается временно закрыть внешний доступ. По предоставленным техническим данным, они затрагивают версии PHP с 5.4 до 8.5.4 включительно. и связаны с ошибкой use-after-free — обращением к области памяти после её освобождения. Опасность этих брешей в том, что они срабатывают на уровне ядра интерпретатора до того, как управление дойдёт до первой строчки index.php.
Предупреждение касается владельцев объектов критической информационной инфраструктуры (КИИ), в которую входят ИТ-системы энергетики, транспорта, связи, банковской сферы и здравоохранения. Сообщение направлено через государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Выявленные ИТ-уязвимости представляют повышенную опасность, поскольку при определённых условиях позволяют атакующим удалённо выполнять команды на сервере без прохождения авторизации. Это создаёт ИТ-угрозу полного контроля над сайтом и утечки конфиденциальных данных, включая пароли и служебную информацию.
По информации «СNews», в сети опубликованы технические материалы об эксплуатации ИТ-уязвимостей. Для распространённых сборок PHP подготовлены параметры, упрощающие настройку эксплоита. PHP-разработчики выпустили патчи для поддерживаемых веток (8.2.35, 8.3.36, 8.4.27, 8.5.12) Критические ИТ-уязвимости CVE-2026-109618 и CVE-2026-109619 получили оценку в 9,2 из 10 баллов по одной из версий шкалы оценки опасности.
Ошибки обнаружили специалисты по кибербезопасности компаний Calif и Wiz (принадлежащая Alphabet). Они сообщили, что им удалось найти эти ИТ-уязвимости с помощью онлайн-инструментов с технологией искусственного интеллекта (ИИ) — как собственных ИТ-разработок компании, так и Google Gemini 4 Argon и OpenAI GPT-5.6 Sol. По их сведениям, уязвимости оставались неизвестными более десяти лет. Исследователи оценивают потенциальный охват примерно в 70% веб-ресурсов. PHP широко применяется в популярных content management system (CMS) — WordPress, Drupal и Joomla. Для актуальных релизов уже выпущены исправления; владельцам устаревших версий рекомендуется перейти на поддерживаемые выпуски.
Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.
