Разработчики языка программирования PHP предупредили 21 октября 2026 года об обнаружении двух уязвимостей, позволяющих удалённо выполнять код на серверах. Проблема затрагивает такие популярные платформы, как WordPress, MediaWiki и Symphony.
PHP — один из самых распространённых языков с открытым исходным кодом: на нём создают сайты и веб-приложения, обрабатывают формы, управляют сессиями и работают с базами данных, поэтому он широко применяется разработчиками по всему миру. Обнаруженные дыры относятся к классу PHP2shell и теоретически дают атакующим возможность запускать собственный код на затронутых серверах, захватывать контроль над сайтами для их вредоносного изменения или кражи данных. По данным на момент публикации, случаев практического использования этих уязвимостей не зафиксировано.
Разработчики рекомендовали применять меры предосторожности: изолировать сайты, на которых установлен PHP, или отключать их от сети до установки обновлений. Патчи, закрывающие обе проблемы, распространили уже сегодня во второй половине дня.
Реакция последовала и на государственном уровне. Команда реагирования на компьютерные инциденты Евросоюза (CERT-EU) выпустила предупреждение и посоветовала организациям, которые не могут немедленно установить заплатку, «рассмотреть возможность изоляции интернет-ориентированных приложений от публичных сетей до появления решения». Киберподразделение Агентства национальной безопасности США (NSA) призвало все организации, использующие PHP, «с немедленным вступлением в силу» готовиться к уже развёрнутому обновлению, закрывающему две критические уязвимости. «PHP широко используется в веб-приложениях. Эти уязвимости часто открывают прямой путь к файловой системе или базе данных сервера», — пояснили в ведомстве, добавив, что если немедленное обновление невозможно, систему следует отключать до полного устранения угрозы.
Премьер-министр Японии Санаэ Такаити в своей первой оценке кризиса рекомендовала последний вариант в качестве крайней меры. Правительственные сайты Германии, Бельгии и Нидерландов, а также ряд государственных ресурсов Франции и Финляндии были временно отключены. МВД Франции сообщило, что приостанавливает работу сайтов местных госучреждений в ожидании обновления безопасности: «В качестве меры предосторожности сайты префектур отключены до тех пор, пока разработчик не выпустит обновление безопасности».