После того как сведения о критических уязвимостях PHP2Shell (CVE-2026-109618 и CVE-2026-109619) утекли до выхода исправлений, организации по всему миру начали временно отключать сайты на PHP или отдельные их функции. Многие не стали ждать даже выхода PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а часть сайтов осталась недоступной и после него – пока администраторы устанавливают обновления и проверяют серверы.
Национальный центр кибербезопасности Нидерландов (NCSC) из предосторожности отключил собственный сайт. Изображение: Comss.ru
Уязвимости позволяют выполнить код на сервере без аутентификации и затрагивают все установки PHP, которые обрабатывают веб-запросы. Атаки на них уже начались: технический директор Cloudflare еще до выхода исправлений сообщил, что компания фиксирует первые попытки эксплуатации.
Кто отключил сайты
Больше всего отключений пришлось на Нидерланды. Национальный центр кибербезопасности (NCSC) из предосторожности отключил собственный сайт – вечером 21 октября на ncsc.nl по-прежнему висела страница о временной недоступности. По данным Reuters, примеру NCSC последовали порт Роттердама, государственный портал Overheid.nl, Футбольный союз Нидерландов (KNVB), сайты пяти крупнейших политических партий и многие больницы. По данным Sansec, офлайн ушли также сайты Палаты представителей и технологического издания Tweakers. Нидерландский портал о безопасности Security.NL перевел свои системы в режим обслуживания.
Security.NL: «Из-за уязвимости PHP2Shell мы из предосторожности временно перевели наши системы в режим обслуживания». Изображение: Comss.ru
В других странах, по данным Reuters, сайты отключали в основном государственные ведомства:
- Финляндия: государственный ИТ-центр Valtori отключил публичные веб-сервисы правительства «в качестве меры предосторожности». Компания заявила, что не обнаружила попыток эксплуатации уязвимостей и что отключение не связано с утечкой данных.
- Германия: федеральный ИТ-провайдер ITZBund отключил несколько сайтов. По словам представителя министерства цифровых технологий, это превентивная мера, инцидентов безопасности не было.
- Франция: МВД временно отключило сайты префектур до выхода исправления.
- Бельгия: МИД временно отключил свои сайты после сообщений об атаках, хотя национальный центр кибербезопасности атак на бельгийские сайты не зафиксировал.
Затронуло не только госсектор. Фонд Викимедиа, который поддерживает Википедию, сообщил, что уязвимостям подвержены все его системы на PHP, в том числе поддерживаемые добровольцами: «Мы отключили ряд других систем в качестве меры предосторожности, пока их нельзя будет безопасно обновить».
Отключение загрузки файлов и режим «только чтение»
Часть сервисов не стала уходить в офлайн целиком, а отключила самые рискованные функции. Например, разработчик систем комментариев и блогов HYVOR временно запретил загрузку файлов во всех своих продуктах:
В связи с недавней проблемой безопасности PHP, связанной с CVE-2026-109618 и CVE-2026-109619, мы временно отключаем загрузку файлов во всех продуктах HYVOR в качестве меры предосторожности. Загрузка будет восстановлена после необходимых проверок, когда мы убедимся, что это безопасно.
Выбор не случаен. По данным Sansec, все известные способы атаки используют запросы multipart/form-data – формат, в котором браузер отправляет файлы, а PHP разбирает такой запрос еще до того, как начинает работать код сайта. Поэтому Sansec советует администраторам, которые не могут сразу обновить PHP, блокировать такие запросы на веб-сервере, хотя это ломает загрузку файлов и иногда оформление заказов. Еще один вариант – режим «только чтение», когда веб-сервер пропускает лишь запросы GET и HEAD: посетители могут просматривать сайт, но не могут войти в аккаунт или отправить форму.
Обычный режим обслуживания в WordPress или Magento при этом не защищает: PHP разбирает запрос раньше, чем приложение проверяет, включен ли этот режим. Если сайт нужно закрыть, Sansec советует остановить PHP-FPM и отдавать посетителям статическую страницу средствами самого веб-сервера.
Почему сайты отключают даже после выхода исправлений
Главная причина – утечка. Подробности об уязвимостях стали известны раньше запланированного раскрытия, и несколько часов у администраторов не было исправления, которое можно установить. Служба кибербезопасности учреждений ЕС CERT-EU посоветовала немедленно обновиться, а если это невозможно, изолировать доступные из интернета приложения до установки и проверки исправления. Агентство национальной безопасности США рекомендовало отключить системы, которые нельзя обновить сразу.
Исправления уже вышли, но установить их не всегда просто. На виртуальном хостинге PHP обновляет хостинг-провайдер, а не владелец сайта, а PHP 8.1 и более старые ветки обновлений от команды PHP не получают вовсе. Кроме того, после установки обновления нужно перезапустить все рабочие процессы PHP, иначе они продолжат выполнять старый код.
Что делать владельцам сайтов
Единственная полноценная защита – обновить PHP до версии 8.5.12, 8.4.27, 8.3.36 или 8.2.35 либо установить исправленную сборку от поставщика дистрибутива, а затем перезапустить PHP-FPM, Apache или другой сервер, который обрабатывает PHP. Обновление WordPress, плагинов или фреймворка уязвимости не закрывает – исправлять нужно сам PHP. Если сайт работает на виртуальном хостинге, уточните у провайдера, установлено ли исправление.
Ссылки на сборки PHP для Windows и исходный код, порядок обновления в Linux и временные меры защиты собраны в нашей отдельной статье.
