НКЦКИ потребовал устранить уязвимости PHP2Shell

22 октября 2026 года Национальный координационный центр по компьютерным инцидентам (НКЦКИ) направил операторам критической информационной инфраструктуры (КИИ) письмо с требованием устранить критические уязвимости в PHP. Если быстро установить исправления нельзя, организациям предложено рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам — вплоть до их отключения.

О письме сообщил РБК. Издание ссылается на копию документа, подлинность которой подтвердили три организации-получателя.

Указание адресовано организациям, работающим с объектами КИИ, включая государственные органы, банки, операторов связи, энергетические, транспортные и медицинские компании. Это не распоряжение отключить все сайты на PHP: владельцам остальных ресурсов стоит проверить и обновить серверное ПО, но письмо НКЦКИ касается операторов критической инфраструктуры.

По информации РБК, письмо было распространено через ГосСОПКА. Получателям поручено обновить PHP, проверить серверы антивирусными средствами, изучить журналы событий на возможные признаки взлома и сообщать о подозрительных инцидентах.

Если обновить PHP в короткий срок не получается, организациям следует рассмотреть ограничение доступа извне к уязвимым серверам или их временное отключение: выявить все системы с PHP, установить исправления и проверить, не было ли признаков компрометации.

Речь идет об уязвимостях CVE-2026-109618 и CVE-2026-109619, которые совместно называют PHP2Shell. Они находятся в самом PHP — серверном программном обеспечении, которое обрабатывает запросы сайтов. При определенных условиях уязвимости могут позволить выполнить код на сервере без предварительной авторизации. Обе получили оценку 9,2 из 10 по шкале CVSS 4.0.

Проблема не ограничивается отдельной CMS или плагином. Она связана с PHP, поэтому обновление WordPress, Drupal, Joomla или «1С-Битрикс» само по себе ее не устраняет. Исследователи Wiz продемонстрировали возможность эксплуатации на нескольких популярных CMS, но уязвимый компонент при этом — PHP на сервере.

21 октября разработчики PHP выпустили версии с устраненными уязвимостями:

• PHP 8.5.12;
• PHP 8.4.27;
• PHP 8.3.36;
• PHP 8.2.35.

Полный перечень исправлений и рекомендации опубликованы в официальном бюллетене PHP. Обновление нужно выполнять для той установки PHP, которая фактически обслуживает сайт. Если PHP поставляется через Linux-дистрибутив, панель управления или хостинг-провайдера, следует свериться с инструкциями этого поставщика.

PHP 8.1 и более старые ветки уже не получают обычные обновления безопасности напрямую от команды PHP. Для некоторых старых версий подготовлены минимальные исправления исходного кода, а дистрибутивы и поставщики с долгосрочной поддержкой могут выпускать собственные бэкпорты. Владельцам таких систем следует уточнить у поставщика, доступно ли исправление именно для их сборки, и запланировать переход на поддерживаемую ветку.

Владельцам сайтов, не относящихся к КИИ, также стоит выяснить, какая версия PHP работает на их серверах.

1. Составить список систем с PHP. Учесть сайты, серверы и контейнеры, в том числе те, которыми управляет подрядчик.
2. Проверить фактическую версию PHP. Ее можно уточнить у системного администратора или хостинг-провайдера.
3. Установить исправленную версию. Для устаревших веток запросить у поставщика сведения о бэкпорте или безопасном переходе.
4. Проверить результат обновления. Убедиться, что сайт действительно обслуживается исправленной сборкой, а затем проверить формы, заказы, загрузку файлов и интеграции.
5. Изучить журналы и оценить подозрительную активность. Если есть признаки компрометации, подключить специалистов по информационной безопасности.

Временные меры могут снизить риск отдельных сценариев, но не заменяют установку исправлений. Команда PHP указывает, что обновление до исправленной версии — единственный полный способ устранить обе уязвимости.

PHP2Shell затрагивает серверный PHP, а не только код сайта или его CMS. Поэтому важно проверить версию, которая обслуживает запросы, установить доступное исправление и убедиться, что после обновления сайт работает штатно. Для операторов КИИ дополнительно действуют указания, изложенные в письме НКЦКИ, о котором сообщил РБК.