Критические уязвимости PHP поставили под угрозу более 40 % сайтов в интернете21.10.2026 17:46

Сегодня ожидается выпуск патча безопасности для языка программирования PHP, который повсеместно используется для создания сайтов и веб-приложений. Цель обновления — устранить две критические уязвимости, которые, если их не закрыть, могут нанести серьёзный ущерб интернет-инфраструктуре.

Разработчики PHP присвоили упомянутым уязвимостям уровень опасности 9,2 из 10 баллов, что говорит о серьёзности ситуации. Некоторые специалисты по информационной безопасности даже рекомендовали владельцам веб-сайтов временно закрыть доступ к своим системам, если нет возможности сразу применить патч для PHP. Пользователям PHP разработчики рекомендуют установить патч сразу после его релиза.

По данным компании watchTowr, работающей в сфере ИБ-безопасности, упомянутые уязвимости позволяют осуществить удалённое выполнение кода и затрагивают все версии PHP, начиная с PHP 5. Это означает, что злоумышленники могут использовать уязвимости для выполнения вредоносного кода на уязвимых серверах для достижения разных целей, включая модификацию веб-сайтов, кражу данных и др.

Масштаб проблемы может быть огромным. По оценке одного из исследователей в сфере ИБ-безопасности, под угрозой, вероятно, находятся более 1,3 млн подключённых к интернету хостов. Компания Wordfence, поставщик плагинов для платформы WordPress, также предупредила, что все сайты на базе этой платформы окажутся уязвимыми, поскольку все они работают на серверах с PHP. Это внушительная величина, ведь данные WordPress указывают на то, что в прошлом году более 40% интернет-сайтов использовали эту платформу. В Wordfence добавили, что патч безопасности для PHP не получится установить в автоматическом режиме. Владельцам сайтов необходимо выяснить, кто отвечает за обновление PHP, поскольку патч должен устанавливаться вручную.

На этом фоне Служба кибербезопасности Евросоюза (EU CERT) и Национальный центр кибербезопасности Великобритании выпустили рекомендации. В них компаниям, которые не могут сразу применить патч для PHP, советуют изолировать доступные из интернета приложения от публичных сетей или же полностью отключить их на время, необходимое для развёртывания обновления. Разработчик мобильной платформы GrapheneOS объявил о временной блокировке своего форума для пользователей, что потребовалось для снижения рисков эксплуатации уязвимостей. Один из разработчиков PHP заявил, что единственный способ нейтрализовать угрозу заключается в установке патча, а если сделать это нельзя по каким-то причинам, то отключение серверов «может быть самым разумным решением».

©  3DNews