Правительственные сайты, СМИ и университеты во многих странах отключились из-за PHP

Под ограничения попали не только государственные порталы, но и СМИ, университеты и образовательные платформы, сообщается на сайте php.net.

По подсчетам ТАСС на основе сообщений властей и СМИ, отключения государственных ресурсов затронули как минимум 13 стран, среди которых Нидерланды, Финляндия, Бельгия, Австрия, Великобритания, Дания, Латвия, Словакия, США, Франция, Германия, Чехия и Япония.

Причиной стали уязвимости CVE-2026-109618 и CVE-2026-109619. PHP Security Team оценила их критичность в 9,2 балла из 10. При определенных условиях они позволяют злоумышленнику удаленно выполнить произвольный код на уязвимом сервере без авторизации. 21 октября разработчики выпустили исправленные версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 и призвали пользователей срочно обновиться.

Совместное предупреждение выпустили Еврокомиссия, ENISA, CERT-EU, Европол и сеть национальных команд реагирования на компьютерные инциденты ЕС. Организациям рекомендовали проверить работающие на PHP системы и как можно быстрее установить обновления, в первую очередь на доступных из интернета серверах.

Некоторые сайты отключали заранее, не дожидаясь атаки

В Нидерландах в целях предосторожности стали недоступны государственные сервисы Overheid.nl, MijnOverheid.nl и DigiD. При этом власти отдельно подчеркивали: на момент отключения признаков активной эксплуатации уязвимостей обнаружено не было.

То есть само отключение сайта еще не означает, что его взломали. Во многих случаях организации предпочитали убрать потенциально уязвимые системы из публичного доступа до появления и установки исправлений.

Отключались СМИ и образовательные платформы

Проблема вышла далеко за пределы государственных сайтов.

Нидерландский технологический ресурс Tweakers примерно на 3,5 часа отключил свой сайт и вернул его в работу после установки обновлений. Издание также сообщало о временном отключении RTL Nieuws.

Образовательная платформа Open LMS 21 октября объявила об отключении всех клиентских сайтов. Компания сообщила, что будет возвращать сервисы в работу только после установки исправлений.

В Германии Университет Фрайбурга временно отключил центральные сайты и ряд сервисов на PHP. Ограничения коснулись, в частности, сайтов на WordPress, внутренних сервисов с авторизацией, образовательной платформы ILIAS, студенческой веб-почты и отдельных сервисов библиотеки.

Таким образом, последствия уязвимостей почувствовали обычные пользователи: в разных странах временно становились недоступны государственные сервисы, новостные сайты, университетские системы и образовательные платформы.

PHP широко применяется для серверной части сайтов и веб-приложений. Обнаруженные уязвимости были опасны прежде всего возможностью удаленного выполнения кода. Разработчики PHP заявили, что полноценным решением является обновление: 21 октября они выпустили исправления для поддерживаемых версий. После установки патчей временно отключенные сайты начали возвращаться в работу.