Федеральное ведомство по информационной безопасности Германии объявило тревогу уровня «Оранжевый» из-за двух критических уязвимостей в PHP под кодовым названием «PHP2Shell». Угроза позволяет злоумышленникам удаленно выполнять произвольный код на серверах, ставя под угрозу веб-ресурсы по всему миру.
Критические уязвимости PHP грозят захватом серверов
Разработчики языка программирования PHP наметили на среду, 21 октября 2026 года, выпуск срочных обновлений для устранения двух критических брешей в безопасности. Уязвимости зарегистрированы под номерами CVE-2026-109618 и CVE-2026-109619. Они затрагивают ядро популярной скриптовой языковой среды, на которой работает значительная часть современных веб-сайтов, включая системы управления контентом WordPress и Joomla, новостные порталы и интернет-магазины. Под угрозой оказались миллионы веб-страниц и сетевых служб по всему миру, функционирующие на различных редакциях программной платформы.
Международная система оценки уязвимостей присвоила этим недоработкам индекс, находящийся на уровне чуть ниже максимума в 10 баллов. Из-за утечки подробностей в публичный доступ до выхода официальных патчей профильные ведомства и эксперты зафиксировали высокую вероятность масштабных автоматизированных атак. По данным Федерального ведомства по информационной безопасности Германии (BSI), ситуация оценивается как бизнес-критическая, способная вызвать массовые нарушения штатного режима работы предприятий. Как подчеркнул вице-президент ведомства Томас Касперс, злоумышленники способны в кратчайшие сроки применить средства автоматизации для анализа проблемы и создания рабочих эксплойтов.
Томас Касперс отметил: «Мы считаем вероятным краткосрочное масштабное использование уязвимостей в течение нескольких часов после выхода обновлений безопасности: злоумышленники смогут за короткое время проанализировать их с помощью инструментов на базе искусственного интеллекта и сгенерировать соответствующие эксплойты. Таким образом, действовать нужно незамедлительно!»
Среди организаций, предупредивших о чрезвычайной ситуации, фигурируют официальная команда безопасности PHP, подразделение компьютерного реагирования немецкого федерального уровня CERT, а также американская компания Huntress и европейская структура CERT-EU. Согласно их заявлениям, недостаток в ядре языка допускает проведение атак типа Remote Code Execution, когда удаленный нарушитель получает шанс перехватить управление над хостом, похитить конфиденциальные данные клиентов или задействовать зараженные мощности для последующих кибератак.
We were all supposed to wait until Thursday at 11am ET. Information has leaked wrt zero-day embargoed RCE vulns in PHP. We can confirm that they're real. CVE-2926-109618/619We cannot share further information right now. Take this seriously and apply patches when available. pic.twitter.com/kguM8fpq13
Университеты и ведомства в Германии отключают ресурсы
Опережая возможные кибератаки злоумышленников, использующих уязвимость для получения полного контроля над серверной инфраструктурой, несколько высших учебных заведений и государственных учреждений в Германии приняли решение прервать работу своих веб-ресурсов. По сообщениям региональных изданий, порталы университетов Фрайбурга, Хайдельберга, Тюбингена и Ульма, а также Технологического института в Карлсруэ временно ушли в оффлайн. На интернет-ресурсе университета Фрайбурга была выведена официальная информационная плашка о том, что различные онлайн-службы отключены профилактически из-за обнаруженной угрозы. В то же время университет Штутгарта сохранил доступность.
Масштаб превентивных отключений затронул и другие сферы общественной жизни. Подобные меры коснулись муниципальных порталов, в частности, столица федеральной земли Майнц временно заблокировала официальный сайт mainz.de и ряд других городских цифровых служб. Меры затронули проекты из сферы коммерческих издательств, вики-ресурсы, а также облачную бухгалтерскую платформу easybill. Администрация университетской клиники Фрайбурга наряду с пациентским мобильным приложением «Meine Uniklinik» также приняла решение ограничить сетевой доступ, чтобы защитить бэкенд-архитектуру. Ответственные лица напомнили, что городские ведомства и клиники продолжают принимать обращения по телефону и электронной почте, а ранее назначенные очные визиты проходят по расписанию.
Провайдеры выпускают экстренные патчи
Анализ данных специализированных платформ показывает, что масштаб затронутых систем охватывает подавляющее большинство действующих сайтов. Согласно информации сервиса mySites.guru, актуальные исправления будут применимы к веткам PHP версий 8.2, 8.3, 8.4 и 8.5.
Специалисты европейской службы реагирования на компьютерные инциденты CERT-EU, наряду с BSI и профильными экспертами, настоятельно советуют владельцам интернет-ресурсов безотлагательно связаться со своими системными администраторами, поставщиками хостинг-услуг или IT-подрядчиками. Вышедшие обновления для PHP-окружения и используемых систем управления контентом подлежат немедленной установке. Разработчики языка и хостинг-провайдеры во всем мире трудятся круглосуточно, чтобы сформировать и распространить исправленные сборки. Для обычных пользователей персональных компьютеров и смартфонов прямой угрозы при повседневном серфинге нет, так как уязвимость локализована на фоновых серверах, однако они могут столкнуться с перебоями в работе сетевых сервисов и потенциальной утечкой данных на незащищенных площадках.
Специалисты по безопасности подчеркивают, что рядовые апдейты программного обеспечения здесь неприменимы, поскольку ситуация представляет собой одну из самых опасных угроз безопасности за последние годы. Хостинг-провайдеры по всему миру проводят развертывание патчей в виде точечных релизов для поддерживаемых линеек программного кода.
По теме
