Структурное подразделение ФСБ, Национальный координационный центр по компьютерным инцидентам (НКЦКИ), выпустило директиву для объектов критической информационной инфраструктуры (КИИ). Владельцам стратегически важных систем, включая госорганы и финансовые компании, предписано временно отключать свои веб-сайты, если они не могут оперативно устранить недавно обнаруженные две критические уязвимости в языке программирования PHP, сообщает PRIMPRESS.
Обнаруженным «дырам» присвоен максимальный уровень опасности — 9,2 из 10. Они позволяют хакерам удаленно захватывать контроль над сервером и похищать конфиденциальные данные. Под угрозой «1С-Битрикс», WordPress, Drupal, Magento и множество других систем. На PHP работает более 90% сайтов в рунете и почти 70% в мире. Крупные компании и даже целые страны отключат свои сайты, чтобы предотвратить взлом: так, Норвегия уже отключала сайт парламента, а в Финляндии остановили работу госсервисов.
В России распоряжение НКЦКИ было разослано 22 октября через государственную систему противодействия кибератакам ГосСОПКА. В нем содержится требование обновить PHP до безопасной версии, а также провести проверку серверов на следы взлома. Если же быстрое обновление невозможно, НКЦКИ настаивает на временном ограничении доступа к серверам извне, вплоть до их полного отключения. В настоящий момент, например, отключена работа сайта правительства Приморского края primorsky.ru.
Разработчики уже выпустили исправления, но миллионы сайтов потенциально остаются под угрозой. Российские хостинг-провайдеры и IT-компании выпустили предупреждения: «Разработчики PHP выпустили исправления для двух критических уязвимостей, через которые можно удаленно выполнить код на сервере (CVE-2026-109618 и CVE-2026-109619). Детали уже обсуждают публично, поэтому в ближайшие часы ожидаются массовые попытки взлома. Если на ваших виртуальных серверах работают проекты на PHP, обновитесь как можно скорее».
«Дыры» пришли из Индии. У индийского удостоверяющего центра eMudhra нашли 8 TLS-сертификатов, ключи которых позволяют подделать любой сайт. Причина абсурдная — вместо 384-битных ключей eMudhra использовали короткие ключи из 3-8 бит. Один ключ был буквально числом 4.