Под угрозой
В октябре язык программирования РНР столкнулся с двумя серьезными уязвимостями. Речь идет о CVE-2026-109618 (повреждение памяти при ее нехватке) и CVE-2026-109619 (использование устаревшего состояния после освобождения памяти).
Алексей Акимов напомнил, что первые признаки одной из проблем обнаружил еще в 2024 году исследователь Райан Остин из Calif, но тогда ее посчитали теоретической. Позже другие продолжили изучение и сообщили о практическом способе удаленного выполнения кода, а также обнаружили дополнительные способы эксплуатации. Это стало одной из главных причин срочного выпуска исправлений.
«Главная опасность, удаленное выполнение кода (RCE), заключается в том, что злоумышленнику потенциально не нужны учетная запись, пароль или взаимодействие с пользователем. При успешной эксплуатации он получает возможности в пределах прав, которыми обладает РНР-процесс. Если у РНР есть доступ к базе данных, файловой системе или внутренним сервисам, эти ресурсы могут оказаться под угрозой», — добавил начальник отдела разработки.
Рискованный выбор
РНР используется примерно на семи из десяти сайтов во всем мире (по разным оценкам, на нем работает более 90% русскоязычных сайтов — Прим. ред.). При этом статистика относится к сайтам, у которых удалось определить серверный язык, а не ко всем зарегистрированным доменам.
«Уязвимость регулярно обнаруживают в разных компонентах ИТ-инфраструктуры, РНР — лишь один пример того, насколько опасной может быть уязвимость широко используемого программного компонента», — говорит Алексей Акимов.
Любой сайт необходимо защищать установкой обновлений безопасности. Если он стабильно работает и нет подозрительной активности — это не значит, что он защищен.
«И я бы не утверждал, что под угрозой находится весь Рунет. Реальная зона риска — прежде всего сайты, использующие уязвимые версии РНР и не установившие необходимые исправления. Но в России риск действительно очень велик», — отметил начальник отдела разработки.
Евгений Зрюмов, министр цифрового развития и связи Алтайского края также подтвердил, что данная уязвимость актуальна не только для российских сайтов, а в целом для значительного количества веб-ресурсов по всему миру. Он добавил, что разработчики языка РНР оперативно выпустили обновление, в которых описанные уязвимости устранены. Эти обновления активно устанавливают владельцы интернет-ресурсов, включая наш регион.
Обновляйся или отключайся
Сразу после обнаружения уязвимостей ФСБ направило рекомендацию объектам критической информационной структуры. Они предложили либо обновить РНР, либо временно отключить ресурс.
По словам Алексея Акимова, для организации с грамотной технической поддержкой это была вполне реалистичная задача, а вот для остальных — серьезный вызов.
«Наша компания работала с клиентами, массово устанавливая обновления в день их выхода. До, некоторым сотрудникам пришлось спать немного меньше, но это наша работа. Мы сталкивались и с другими критическими уязвимостями и действовали аналогичным образом. Это обычная практика сопровождения», — говорит он.
Сложности могли возникнуть. Среди них эксперт выделил совместимость (старые CMS и плагины могут не работать с новой версией РНР), отсутствие тестовой среды, устаревшую инфраструктуру, недостаток специалистов в небольших организациях и риск простоя для государственных и критически важных сервисов.
«Безопасность — это не разовая реакция на громкую новость, а нормальная часть эксплуатации любого ресурса», — подчеркнул Алексей Акимов.
Игнорировать нельзя
Алексей Акимов объяснил, что уязвимость в PHP на внешнем сайте предприятия не означает, что злоумышленники сразу получат доступ к промышленным контроллерам.
«Взлом ресурса сам по себе не означает возможность управления промышленным оборудованием. Для этого злоумышленнику необходимо преодолеть дополнительные уровни защиты и получить доступ к соответствующим системам», — говорит он.
Если ресурс полностью изолирован от промышленной инфраструктуры, взлом не должен открывать доступ к контроллерам. Однако если на ресурсе работает уязвимая версия РНР, он может стать точкой первоначального проникновения в инфраструктуру организации.
Для снижения риска эксперт рекомендует регулярный аудит инфраструктуры, сегментацию сетей, своевременные обновления не только РНР, но и операционных систем, сетевого оборудования, CMS и библиотек, пересмотр архитектуры и постоянный мониторинг. Важен постоянный контроль.
В неожиданных местах
Поскольку РНР используется не только на сайтах, но и в других сегментах, уязвимость может проникнуть достаточно глубоко — вплоть до промышленного оборудования. Это происходит, если РНР применяют непосредственно в его прошивке или интерфейсе управления.
Устранение уязвимости в промышленном секторе зачастую сложнее, чем ее обнаружение: предприятие может быть готово установить обновление хоть сегодня, но вынуждено ждать, пока производитель оборудования подготовит новую прошивку и подтвердит ее работоспособность.
«Добавим сюда непрерывность производственных процессов, необходимость тестирования, устаревшее оборудование и отсутствие поддержки со стороны производителей — и получим ситуацию, когда уязвимость может оставаться открытой достаточно долго», — отметил Алексей Акимов.
За фасадом сайта
В энергетике и промышленности сайт часто воспринимается как внешний слой. Но за ним стоят взаимосвязанные процессы: платежи, заказы, логистика. Начальник отдела разработки подтвердил, что атака через уязвимость может затронуть как доступность сайта, так и другие системы предприятия.
Злоумышленник, получив возможность выполнять код на сервере, потенциально может получить доступ к хранящимся паролям и ключам API, использовать существующие подключения к внутренним системам, получить доступ к базам данных клиентов и заказов, а также скомпрометировать интеграции с платежными и логистическими сервисами и использовать сервер как промежуточную точку для дальнейшего проникновения.
«Разумеется, результат таких действий зависит от архитектуры, настроек доступа и изоляции систем. Компрометация сайта сама по себе не означает автоматического доступа ко всем внутренним системам», — уточнил Алексей Акимов.
Все-таки есть
Эксперт согласился с тем, что обычному пользователю не нужно предпринимать специальных технических действий именно из-за уязвимости в РНР. Прежде всего это задача владельцев ресурса, разработчиков и администраторов серверов.
«Но я бы не рассматривал это как полное отсутствие рисков для обычных людей. Если уязвимый ресурс хранит персональные данные или предоставляет доступ к личным кабинетам, последствия могут затронуть непосредственно его пользователей», — добавил Алексей Акимов.
Здесь возможны разные сценарии: подмена платежных реквизитов на сайте, компрометация интеграций с платежными сервисами или кража данных, которые обрабатываются самим сайтом.
При этом уязвимость РНР не означает автоматического доступа к банковским счетам или карточным данным.
Баланс безопасности
Отключение части госсайтов в связи с уязвимостью должно быть только крайней мерой. Временная недоступность сайта и компрометация государственной информационной системы — совершенно разные по последствиям события.
Алексей Акимов считает, что иногда лучше на короткое время ограничить доступ к ресурсу, чем допустить его взлом и последующую утечку данных или нарушение работы связанных систем. Он также добавил, что такие ситуации не должны становиться неожиданностью для организаций:
«Если у системы есть грамотная архитектура, резервирование, план реагирования на инциденты и техническая поддержка, необходимость срочных ограничений не превратится в катастрофу. Безопасность и доступность услуг не должны противопоставляться друг другу. Задача специалистов — обеспечить и то и другое».
