Две критические уязвимости PHP вызывают срочные предупреждения и оповещение правительства Южной Кореи
Коротко
Две уязвимости PHP, каждая из которых оценена в 9,2 балла из 10 по CVSS 4.0, заставили страховых экспертов и CERT-EU ЕС призвать к быстрым действиям. Министерство науки и ИКТ Южной Кореи и KISA призвали компании принять меры защиты, а исправление команды PHP должно было выйти 21 октября.
Читать полностью 3 мин чтения
Эксперты по безопасности и чиновники Южной Кореи и других стран призвали к быстрым действиям из-за двух критических уязвимостей в PHP, языке программирования, широко используемого для создания сайтов. Newsis и Dong-A Ilbo сообщали 21 октября, что команда безопасности PHP запланировала в 23:00 по корейскому времени выпустить в тот же день обновление, устраняющее две уязвимости. Каждая уязвимость оценена в 9,2 балла из 10 по CVSS 4.0, что соответствует уровню «Критический». [ 1 , 2 ]
Уязвимости — CVE-2026-109618 и CVE-2026-109619, которые в сфере безопасности также называют PHP2Shell. Они известны как уязвимости удалённого выполнения кода, которые позволяют внешнему злоумышленнику выполнять произвольный код на сервере. Успешная атака может привести к хищению данных или изменению содержимого сайтов. Команда безопасности просила владельцев источников готовиться к применению обновления сразу после его появления и сообщила, что конкретные детали, затронутые и исправленные версии будут объявлены вместе с ним. [ 1 , 2 ]
CERT-EU, центр реагирования на инциденты в кибербезопасности для институтов и агентств ЕС, рекомендовал выявить сайты и сервисы, работающие на PHP, и подготовить безопасные обновления. Если немедленные действия затруднительны, сказано в его рекомендациях, владельцам сервиса следует рассмотреть блокировку внешнего доступа к нему до установки обновления. Wordfence подчеркнула, что обновления самого WordPress отличаются от исправлений безопасности PHP, и призвала владельцев проверить версию PHP и планы обновлений у своего хостинг-провайдера. В Южной Корее AhnLab в срочном оповещении предупредила о риске удалённого выполнения кода, но сказала, что официальный масштаб воздействия пока не обнародован. [ 1 , 2 ]
Yonhap 22 октября сообщила, что министерство науки и ИКТ и Агентство по интернет-безопасности Кореи (KISA) призвали членов системы обмена данными о угрозах C-TAS и компании, обязанные сообщать о назначении должностного лица по информационной безопасности, принять меры защиты. KISA управляет C-TAS, в которой участвует около 5900 компаний и учреждений, а около 30 000 компаний обязаны представлять такой отчёт. Портал «Boho Nara» агентства KISA также опубликовал объявление с рекомендациями об обновлениях и патчах. Yonhap сообщила, что уязвимость можно эксплуатировать без входа в систему и аутентификации, а разработчики PHP выпустили новые версии, устраняющие две уязвимости, 21 октября (по местному времени). [ 3 ]
Yonhap сообщила, что, по мнению экспертов из сферы безопасности, малым компаниям с ограниченным штатом безопасников может быть трудно быстро установить патчи, поэтому правительство должно организовать практическую помощь, такую как экстренная поддержка патчей. Чиновник министерства сказал, что сами компании были сначала проинформированы, а экстренная поддержка патчей для малых и средних компаний рассматривается. Ссылаясь на W3Techs, Yonhap сообщила, что около 75% сайтов, язык программирования которых можно установить, работают на PHP, а WordPress, который используется на около 43% всех сайтов, тоже работает на нём. Добавила, что по сведениям компания Калипреу (캘리프) обнаружила уязвимости с помощью модели GPT-5.6 Sol от OpenAI. [ 3 ]
Dong-A Ilbo привела слова Пак Се-джун (박세준), генерального директора Theori (티오리), который написал в Facebook, что многие корейские сайты, такие как использующие форумный инструмент Gnuboard (그누보드) или старые интернет-магазины, работают на старых версиях PHP, например 5 и 7. Он сказал, что забытые сайты, внешне переданные интернет-магазины и страницы управления оборудованием тоже могут работать на PHP, и советовал сразу применить патч или временно заблокировать внешний доступ. LogPresso сказала, что отключение функции индикатора выгрузки файлов может снизить часть риска до выхода патча, и советовала проверять серверные журналы на предмет аномальных сбоев PHP, веб-шеллов и подозрительных внешних связей. Dong-A Ilbo добавила, что версии PHP за пределами официального периода поддержки не получают официальных исправлений безопасности. [ 2 ]
Почему это важно
Yonhap сослалась на W3Techs и сообщила, что около 75% сайтов, чтобы язык программирования которых можно было установить, работают на PHP, а WordPress тоже работает на нём. Чиновники и специалисты по безопасности Южной Кореи призвали владельцев сайтов проверить старые или забытые ресурсы, а министерство заявило, что рассматривает возможность экстренной поддержки патчей для малых компаний.
Ключевые факты
- Команда безопасности PHP заявила, что обновление, устраняющее две уязвимости, будет опубликовано в 23:00 по корейскому времени 21 октября. [ 1 , 2 ]
- Уязвимости CVE-2026-109618 и CVE-2026-109619 каждая оценена в 9,2 балла из 10 по CVSS 4.0, что соответствует уровню «Критический». [ 1 , 2 ]
- Уязвимости известны как уязвимости дистанционного выполнения кода, которые позволяют внешнему злоумышленнику выполнять произвольный код на сервере. [ 1 , 2 , 3 ]
- Министерство науки и ИКТ и KISA призвали участников системы обмена данными о угрозах C-TAS и компании, обязанные сообщать о назначении должностного лица по информационной безопасности, принять меры защиты. [ 3 ]
- CERT-EU рекомендовал выявить сайты и сервисы, работающие на PHP, подготовить обновления и, если немедленные действия затруднительны, рассмотреть блокировку внешнего доступа до применения обновления. [ 1 , 2 ]
- Yonhap сообщила, что разработчики PHP выпустили новые версии, устраняющие две уязвимости, 21 октября (по местному времени). [ 3 ]
Подтверждено несколькими источниками
- Уязвимости описываются как позволяющие выполнить удалённый код на серверах. [ 1 , 2 , 3 ]
- Министерство науки и ИКТ и KISA призвали членов C-TAS и компании, обязанные сообщать о назначении должностного лица по информационной безопасности, принять меры защиты, а портал «Boho Nara» KISA опубликовал объявление с рекомендациями об обновлениях и патчах. [ 3 ]
Пока неясно
- Какие версии PHP затронуты и какие версии содержат исправление. Newsis и Dong-A Ilbo заявили, что эти детали будут объявлены вместе с обновлением, а AhnLab сказала, что официальный масштаб воздействия пока не обнародован.
- Вышло ли обновление в запланированное время, 23:00 по корейскому времени 21 октября. Newsis и Dong-A Ilbo, опубликованные до этого времени, описывали выпуск как запланированный. Yonhap позже сообщила, что разработчики выпустили новые версии 21 октября (по местному времени), не указав время.
- Кто обнаружил уязвимости. Только Yonhap сообщила, со слов «по сведениям», что испания компания Калипреу (캘리프) обнаружила их с помощью модели GPT-5.6 Sol от OpenAI.
- Будет ли правительство обеспечивать экстренную поддержку патчей для малых и средних компаний. Чиновник министерства заявил, что вопрос рассматривается, и решение не принято.
- Две уязвимости PHP, CVE-2026-109618 и CVE-2026-109619, каждая оценена в 9,2 балла из 10 по CVSS 4.0. Пока сообщает один источник
- CERT-EU рекомендовал подготовить обновления безопасности и, если немедленные действия затруднительны, рассмотреть блокировку внешнего доступа к затронутым сервисам. Пока сообщает один источник
- AhnLab выпустила срочное оповещение о риске удалённого выполнения кода. Пока сообщает один источник