Национальный координационный центр по компьютерным инцидентам (НКЦКИ), действующий при ФСБ России, направил операторам критической информационной инфраструктуры требование срочно устранить две критические уязвимости PHP. Если установить исправления оперативно невозможно, организациям предписано рассмотреть ограничение внешнего доступа к уязвимым серверам вплоть до их полного отключения. Об этом 22 октября сообщил РБК со ссылкой на письмо НКЦКИ, подлинность которого подтвердили три организации-получателя.Предупреждение разослано через государственную систему ГосСОПКА и касается информационной инфраструктуры государственных органов, банков, операторов связи, энергетических, транспортных, медицинских и других организаций. Помимо обновления PHP, получателям предписано провести антивирусную проверку серверов, изучить журналы на предмет возможного взлома и сообщать о подозрительных инцидентах. Аналогичные рекомендации распространили центры кибербезопасности других стран, однако в России ситуация примечательна ещё и тем, что указания по обновлению конкретного программного обеспечения поступают непосредственно от структуры ФСБ.Поводом стали две уязвимости, CVE-2026-109618 и CVE-2026-109619, получившие общее название PHP2Shell. Обе оцениваются в 9,2 балла по шкале CVSS 4.0 и при определённых условиях позволяют выполнять произвольный код на сервере без авторизации. Разработчики PHP 21 октября выпустили исправления в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12, плюс отдельного упоминания заслуживает работа чешского разработчика Ондржея Суры (Ondřej Surý), сопровождающего популярные репозитории PHP для Debian и Ubuntu: он опубликовал обновления сразу для 12 веток PHP, включая давно неподдерживаемые версии 5.6, 7.0–7.4 и 8.0–8.1. Читать далее