ФСБ потребовала отключить уязвимые PHP-серверы

Рекомендации касаются владельцев объектов критической информационной инфраструктуры, включая энергетические, транспортные, финансовые и медицинские организации. Предупреждение выпущено через систему ГосСОПКА и адресовано тем, кто не может оперативно обновить программное обеспечение. Уязвимости, получившие индексы CVE-2026-109618 и CVE-2026-109619, затрагивают широкий спектр версий PHP, начиная с 5.4 и заканчивая 8.5.4. Они связаны с ошибкой обращения к памяти после её освобождения — так называемой уязвимостью use-after-free.

Техническая опасность брешей заключается в том, что код злоумышленника исполняется на уровне ядра интерпретатора еще до запуска основного приложения. Эксперты отмечают, что в российском сегменте интернета насчитывается около 50 тысяч потенциально уязвимых ресурсов, работающих на популярных CMS вроде WordPress, Drupal или Joomla. Специалисты по кибербезопасности из компаний Calif и Wiz, обнаружившие эти недочеты с помощью нейросетей, подчеркивают, что проблема оставалась скрытой более десяти лет. Разработчики PHP уже выпустили патчи для актуальных версий, однако единственным способом гарантированной защиты на текущий момент остается установка обновлений или полная изоляция веб-серверов от внешнего доступа.