ФСБ потребовала отключить уязвимые PHP-серверы

Рекомендация касается всех объектов критической информационной инфраструктуры, включая энергетические компании, банки, медицинские учреждения и госорганы. Бреши, получившие идентификаторы CVE-2026-109618 и CVE-2026-109619, были выявлены с помощью нейросетей и затрагивают версии PHP с 5.4 по 8.5.4. Опасность заключается в ошибке типа use-after-free: система обращается к уже освобожденной области памяти, что открывает путь для выполнения произвольного кода еще до запуска основного скрипта сайта.

Разработчики PHP уже выпустили патчи для актуальных веток, однако эксперты отмечают, что в российском сегменте интернета остаются около 50 тысяч потенциально уязвимых приложений. Специалисты советуют не ограничиваться установкой обновлений, а также проводить аудит журналов событий и антивирусную проверку серверов. В случае, если оперативное обновление ПО невозможно, единственным надежным способом защиты остается полное ограничение внешнего доступа к веб-ресурсу. При обнаружении подозрительной активности владельцам систем предписано немедленно передавать данные в ГосСОПКА.