НКЦКИ при ФСБ потребовал срочно обновить PHP. Тем, кто не успевает, предложено отключить сайты

(ИИ-сгенерированная КДПВ)

Национальный координационный центр по компьютерным инцидентам (НКЦКИ), действующий при ФСБ России, направил операторам критической информационной инфраструктуры требование срочно устранить две критические уязвимости PHP. Если установить исправления оперативно невозможно, организациям предписано рассмотреть ограничение внешнего доступа к уязвимым серверам вплоть до их полного отключения. Об этом 22 октября сообщил РБК со ссылкой на письмо НКЦКИ, подлинность которого подтвердили три организации-получателя.

Предупреждение разослано через государственную систему ГосСОПКА и касается информационной инфраструктуры государственных органов, банков, операторов связи, энергетических, транспортных, медицинских и других организаций. Помимо обновления PHP, получателям предписано провести антивирусную проверку серверов, изучить журналы на предмет возможного взлома и сообщать о подозрительных инцидентах. Аналогичные рекомендации распространили центры кибербезопасности других стран, однако в России ситуация примечательна ещё и тем, что указания по обновлению конкретного программного обеспечения поступают непосредственно от структуры ФСБ.

Поводом стали две уязвимости, CVE-2026-109618 и CVE-2026-109619, получившие общее название PHP2Shell. Обе оцениваются в 9,2 балла по шкале CVSS 4.0 и при определённых условиях позволяют выполнять произвольный код на сервере без авторизации. Разработчики PHP 21 октября выпустили исправления в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12.

Проблема затрагивает непосредственно интерпретатор PHP, а не отдельные веб-приложения. Поэтому обновление WordPress, Drupal, Joomla или «1С-Битрикс» само по себе уязвимости не устраняет. Для устаревших веток PHP, не поддерживаемых разработчиками языка, ситуация сложнее: требуется переход на поддерживаемую версию либо установка исправлений от поставщика ОС, если тот продолжает сопровождать соответствующие пакеты.

Масштаб угрозы трудно переоценить. По данным W3Techs, PHP используют около 69,3% сайтов в мире и 90,8% русскоязычных ресурсов среди тех, для которых удалось определить серверный язык программирования. Это не означает, что все они уязвимы, но показывает размер потенциальной поверхности атаки.

Последствия обнаружения PHP2Shell уже почувствовали во многих странах. В Нидерландах временно отключили государственные порталы Overheid.nl и MijnOverheid.nl, сервис электронной идентификации DigiD. Ограничения затронули также сайты больниц, порта Роттердама и национальной футбольной ассоциации. Во Франции закрывали сайты префектур, в Германии — отдельные федеральные ресурсы, в Финляндии — государственные онлайн-сервисы. Аналогичные меры приняли учреждения Бельгии и Чехии. Масштаб отключений перечислило агентство Reuters.

В Японии ограничения затронули Министерство финансов, налоговую службу, авиакомпанию ANA, железнодорожного оператора East Japan Railway, брокерскую компанию Nomura и банковскую группу Mitsubishi UFJ. О временном отключении части систем сообщили также Wikimedia Foundation, Internet Archive и французский телекоммуникационный оператор Orange. В большинстве случаев речь шла о превентивных мерах, а не о подтверждённых взломах.

При этом угроза перестала быть исключительно теоретической. По сообщению Reuters, Cloudflare зафиксировала резкий рост попыток эксплуатации уязвимостей: от нескольких тысяч до публичного раскрытия информации до миллионов после него. Сама Cloudflare заранее внедрила защитные правила WAF, но подчёркивает, что они не заменяют обновление PHP.

Финский государственный ИТ-оператор Valtori предупредил, что восстановление некоторых сервисов может занять дни или даже недели, поскольку после установки исправлений необходимо проверить работоспособность систем.

В России временно отключило свой сайт независимое издание «7×7». Главный редактор Олег Григоренко объяснил решение необходимостью предотвратить несанкционированный доступ к данным. Позднее редакция восстановила работу ресурса после проверки безопасности и устранения уязвимостей.

Однако у этой истории есть ещё одно измерение, выходящее за рамки непосредственно PHP.

НКЦКИ уже много лет занимается информированием об уязвимостях и координацией реагирования на компьютерные инциденты. Но нынешний случай наглядно показывает, как вопросы повседневного системного администрирования становятся предметом указаний со стороны органов безопасности. Сегодня речь идёт об обновлении PHP, завтра аналогичное требование может касаться веб-сервера, базы данных или коммерческой системы управления сайтом.

И здесь возникают интересные практические вопросы. Например, кто должен оплачивать обновление коммерческого ПО, если оно необходимо для устранения уязвимости, а срок действия лицензии уже закончился?

В случае нынешних уязвимостей PHP обновления самой CMS проблему не устраняют. Но если переход на безопасную версию PHP требует обновления старой версии коммерческого продукта, задача может оказаться значительно дороже и сложнее. Например, для получения обновлений «1С-Битрикс: Управление сайтом» требуется действующий период обновлений, а его продление оплачивается отдельно. Причём, если с момента окончания предыдущего периода прошло больше месяца, стандартное продление обойдётся в 60% стоимости соответствующей редакции продукта.

А что делать организации, если разработчик вообще прекратил поддержку продукта? Или совместимость новой версии с существующей системой ещё не проверена? Кто будет отвечать за простой сервиса, если его отключили ради безопасности, но восстановить быстро не получилось?

Само требование своевременно устранять критические уязвимости вполне обоснованно. Однако между выпуском исправления и его безопасным внедрением на промышленной системе нередко лежат тестирование совместимости, резервное копирование, согласование окна обслуживания и, в случае коммерческого ПО, дополнительные расходы. Письмо с требованием срочно обновиться этих задач не решает.

Пока речь идёт об организациях критической инфраструктуры, а не обо всех владельцах российских сайтов. И само по себе уведомление НКЦКИ не означает появления нового механизма всеобщего контроля обновлений. Тем не менее направление развития заслуживает внимания: государственная координация кибербезопасности всё теснее соприкасается с повседневной эксплуатацией программного обеспечения.

Пожалуй, в таком дивном новом мире у системных администраторов может появиться ещё один повод для утреннего беспокойства. Раньше, идя на работу, администратор надеялся, что за ночь ничего не упало. Теперь к этому может добавиться другая мысль: «Только бы за ночь из органов не прислали указание срочно обновить какую-нибудь софтину, причём срочно».

И если за своевременностью обновлений действительно начнут следить не только администраторы и специалисты по информационной безопасности, но и государственные ведомства, останется выяснить главное: будут ли последние ограничиваться рекомендациями и контролем или предложат способ решать связанные с обновлениями технические и финансовые проблемы.