Уязвимости PHP заставили Европу отключать госсайты

Государственные организации и СМИ в Европе начали профилактически отключать сайты из-за двух критических уязвимостей PHP, позволяющих взломать сервер без авторизации — по оценке W3Techs, этот серверный язык используют 69,3% сайтов.

Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют удаленно выполнить код на сервере, получить доступ к данным или нарушить работу сервиса.

В Финляндии 21 октября частично остановили государственные веб-сервисы, включая сайт Национальной земельной службы, в Великобритании сайты отключили Управление бюджетной ответственности, городской совет Оксфорда и совет Эдинбурга, а также некоторые страницы Би-би-си.

Попытка эксплуатации уязвимостей была зафиксирована 17 октября еще до их публичного раскрытия, а Cloudflare обнаружила атаки на своих клиентов и включила защитные правила, предупредив, что они не заменяют обновление PHP.

Разработчики выпустили исправленные версии, но они не устанавливаются автоматически — администраторам нужно обновить PHP самостоятельно, для веток 8.1 и старше обычные обновления безопасности больше не выходят.

Ранее операторам связи в России поручили проверить около 100 тысяч роутеров латвийской MikroTik из-за уязвимостей. Подробнее об этом читайте в материале ITinfo.