Уязвимости PHP: риски и меры защиты

В октябре 2026 года были обнаружены две критические уязвимости в PHP (CVE-2026-109618 и CVE-2026-109619), которые могут позволить злоумышленникам взломать сайты. PHP используется на примерно 70% сайтов мира. Алексей Акимов, начальник отдела разработки «Фриматик», рассказал о рисках и способах защиты.

Описание уязвимостей

CVE-2026-109618 связана с повреждением памяти при её нехватке, а CVE-2026-109619 — с использованием устаревшего состояния после освобождения памяти. Уязвимости получили оценку 9,2 из 10.

Алексей Акимов отметил, что главная опасность заключается в возможности удалённого выполнения кода (RCE) без необходимости учётной записи или взаимодействия с пользователем. При успешной эксплуатации злоумышленник получает возможности в пределах прав PHP-процесса.

Риски и рекомендации

Уязвимости могут привести к доступу к базам данных, файловым системам и внутренним сервисам. Для снижения рисков рекомендуется:

• регулярно проводить аудит инфраструктуры;
• сегментировать сети;
• своевременно устанавливать обновления PHP, операционных систем, сетевого оборудования, CMS и библиотек;
• пересматривать архитектуру систем;
• осуществлять постоянный мониторинг.

ФСБ рекомендовала объектам критической информационной инфраструктуры либо обновить PHP, либо временно отключить ресурс.

Проблемы при обновлении

Среди проблем, которые могут возникнуть при обновлении, эксперт выделил:

• совместимость со старыми CMS и плагинами;
• отсутствие тестовой среды;
• устаревшую инфраструктуру;
• недостаток специалистов в небольших организациях;
• риск простоя для государственных и критически важных сервисов.

Влияние на промышленность

Уязвимость в PHP на сайте предприятия не означает автоматического доступа к промышленным контроллерам, но сайт может стать точкой первоначального проникновения в инфраструктуру организации. Устранение уязвимостей в промышленном секторе часто осложняется необходимостью ожидания новой прошивки от производителя оборудования.