Перейти к содержанию
TALAYINSIGHT
РегионАмерика

ВысокийII Кибервойна и критическая инфраструктура21 октября 2026 г., среда

CISA призвала отключить PHP-системы, которые нельзя пропатчить

21 октября Агентство по кибербезопасности и защите инфраструктуры США (CISA) призвало срочно закрыть 2 критические уязвимости под названием PHP2Shell. Организациям, которые не могут установить патч или используют снятые с поддержки версии 8.1 и ниже, агентство рекомендовало отключить системы от сети.

Местоположение: ВАШИНГТОН

Согласно предупреждению CISA от 21 октября, уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют без аутентификации удалённо выполнять код на любой установке PHP, отвечающей на веб-запросы. Исправления вошли в версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. По данным The Record, PHP оценил обе уязвимости как критические — 9,2 балла из 10; патчи начали выходить 21 октября после 10:00 по восточному времени США.

Об эксплуатации источники расходятся. CISA пишет, что на момент публикации предупреждения эксплуатации не наблюдала. По данным BleepingComputer, технический директор Cloudflare подтвердил ранние атаки на обе уязвимости ещё до выхода патчей. По данным The Record, watchTowr фиксировала попытки с использованием написанных при помощи ИИ инструментов для проверки концепции, но, по её словам, эти попытки пока не были успешными.

Суть проблемы — масштаб. По оценке VirusTotal в изложении BleepingComputer, в интернете доступно более 5,1 млн PHP-серверов. По данным The Record, Detectify сообщает, что около половины PHP-сайтов работают на старых версиях, которые больше не получают обновлений. 21 октября сотни сайтов ушли офлайн; в числе компаний, приостановивших сервисы, — Nintendo. Предупреждения выпустили, в частности, США, Германия, Великобритания, Нидерланды, Австралия и Япония.

Уязвимости около 2 месяцев назад нашли исследователи компании Calif с помощью инструментов OpenAI. Днём ранее, 20 октября, CISA добавила в каталог активно эксплуатируемых уязвимостей (KEV) 6 уязвимостей, 4 из которых относятся к Plex Media Server. Одна из этих 6 — уязвимость внедрения команд в межсетевом экране веб-приложений SiteGuard, об эксплуатации которой сообщил и национальный CERT Японии.

Оценка Talay

Вывод

PHP2Shell — один из первых масштабных случаев, когда скорость поиска уязвимостей с помощью ИИ обогнала цикл выпуска патчей. Поскольку около половины сайтов работают на версиях без обновлений, риск будет измеряться не днями, а месяцами. Наиболее вероятный путь — успешная эксплуатация распространится через небольшие и заброшенные сайты и расширит инфраструктуру для фишинга и распространения вредоносного ПО.

Возможные последствия

  • Сайты малого бизнеса и госоргановНегативно1–6 месяцев

    Для снятых с поддержки версий 8.1 и ниже патчей нет; таким сайтам приходится выбирать между отключением и риском взлома.

  • Хостинг-провайдерыНегативноНедели

    Более 5,1 млн уязвимых серверов возлагают на провайдеров виртуального хостинга расходы на массовое обновление и перебои в обслуживании.

  • Веб-инфраструктура ТурцииНегативноНедели

    В списке стран, выпустивших предупреждения 21 октября по данным The Record, Турции нет; местные государственные и e-commerce-сайты на снятых с поддержки версиях PHP уязвимы так же.

Вероятные сценарии

  1. 1
    Широкая, но неглубокая эксплуатация55 %

    Успешных атак на заброшенных сайтах становится больше, крупные организации быстро ставят патчи, системного обвала нет.

    Что отслеживать: Включение CISA обеих уязвимостей PHP в каталог KEV

  2. 2
    Цепочка крупных взломов30 %

    Через хостинг-провайдера или популярную CMS происходит массовый захват, раскрываются утечки данных.

    Что отслеживать: Сообщение о крупном взломе, связанном с PHP2Shell, до середины ноября

  3. 3
    Быстрое закрытие15 %

    Патчи и временные правила WAF ограничивают эксплуатацию, и через несколько недель тема уходит из повестки.

    Что отслеживать: Отсутствие у watchTowr и Cloudflare сообщений об успешных попытках эксплуатации

Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.

Реакция рынка

Затронутые индикаторы

  • PHP-серверы в открытом доступе▲ 5,1+ млн
  • Оценка критичности▲ 9,2 / 10
  • Добавлено в KEV 20 октября▲ 6 уязвимостей

Источники

  1. CISA — Критические уязвимости в PHP требуют немедленного исправления
  2. CISA — CISA добавила в каталог шесть известных эксплуатируемых уязвимостей
  3. BleepingComputer — PHP выпустил экстренные патчи для критических уязвимостей PHP2Shell
  4. The Record — Сотни сайтов отключены на фоне растущей тревоги из-за двух уязвимостей PHP