Уязвимость PHP 2026: Чёрный октябрь и защита сайтов в России

Уязвимость PHP 2026 получила название PHP2Shell и стала причиной серии инцидентов под общим именем «Чёрный октябрь». Две уязвимости CVE-2026-109618 и CVE-2026-109619 позволяли удалённо выполнять произвольный код на серверах без пароля. Оценка CVSS составила 9,2 из 10. Проблема затронула все версии PHP с 5.4 и затронула более 90 % русскоязычных сайтов.

Как ИИ обнаружил уязвимости и почему утечка произошла раньше срока

Исследователи из OpenAI и Wiz нашли уязвимости в августе 2026 года с помощью моделей GPT-5.6 Sol и Gemini 4 Argon. Ранее похожие ошибки отмечали с 2020 года, но рабочий эксплойт появился только после работы нейросетей. Координированное раскрытие планировалось на 22 октября, однако сведения и Proof-of-Concept утекли 20 октября. PHP Foundation выпустила исправления 21 октября в 14:00 UTC: версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

По данным Cloudflare, до публикации уже фиксировались тысячи попыток эксплуатации, а после объявления их число выросло до миллионов. Активное сканирование продолжается до сих пор. Российские компании, использующие старые версии PHP, оказались в зоне повышенного риска из-за отсутствия своевременных обновлений от некоторых дистрибутивов.

Ситуация в России: статистика и предписания регуляторов

BI.ZONE зафиксировала первые попытки атак 22 октября и выявила около 50 000 потенциально уязвимых приложений в российском сегменте. Национальный координационный центр по компьютерным инцидентам (НКЦКИ) разослал через ГосСОПКА предписание организациям критической информационной инфраструктуры. В документе требовалось срочно обновить PHP или временно ограничить внешний доступ, после чего провести сканирование и проверить логи.

Компания ROSA выпустила бэкпорты исправлений для поддерживаемых версий. Для устаревших веток до 8.2 официальных патчей практически нет. Владельцам таких систем рекомендуют изолировать сервисы или полностью мигрировать на актуальные сборки. Более 70 % сайтов в мире и свыше 90 % российских ресурсов используют PHP, поэтому масштаб проблемы остаётся значительным.

Пошаговая защита сайтов: что делать владельцам в России

Первым делом необходимо провести полную инвентаризацию всех серверов и приложений, где используется PHP. Проверьте панели управления хостингом, фреймворки и CMS — WordPress, 1C-Bitrix и другие. Обновите PHP до минимально безопасных версий через пакетный менеджер или образы контейнеров. После установки перезапустите веб-сервер и PHP-FPM.

Если обновление невозможно, примените правила WAF и отключите опасные функции, например session.upload_progress. Временно ограничьте внешний доступ к административным интерфейсам. После патча обязательно просканируйте систему антивирусом и проанализируйте логи на предмет несанкционированных действий. Сообщайте о подозрительных инцидентах в ГосСОПКА.

• Обновите PHP до версий 8.2.35 и выше на всех серверах.
• Проверьте наличие обновлений у хостинг-провайдера и вендоров дистрибутивов.
• Настройте WAF-правила для блокировки известных сигнатур PHP2Shell.
• Отключите неиспользуемые модули и функции, связанные с загрузкой файлов.
• Проведите аудит логов за последние 30 дней и сохраните копии.
• Для устаревших версий изолируйте сервисы или перенесите на новую инфраструктуру.

Мониторинг эксплойтов продолжается. Специалисты рекомендуют регулярно проверять обновления от PHP Foundation и российских CERT. Своевременное обновление остаётся единственным надёжным способом защиты от подобных уязвимостей.