Как сообщает Digital Business, 21 октября разработчики языка программирования PHP выпустили экстренные обновления, закрывающие две критические уязвимости — CVE-2026-109618 и CVE-2026-109619. Каждой присвоена оценка 9,2 балла из 10 по шкале оценки серьёзности уязвимостей CVSS 4.0. Проблема оказалась настолько серьёзной, что специалисты по кибербезопасности советовали части организаций отключаться от сети до установки обновлений.
PHP используется для серверной части сайтов: по данным W3Techs, его применяют около 70% ресурсов с известной серверной технологией, включая сайты на WordPress, Drupal и Joomla — от интернет-магазинов и новостных ресурсов до госпорталов. Уязвимости потенциально позволяют выполнять команды на сервере удалённо, без учётной записи и пароля, что может привести к утечке данных или захвату сервера.
АО «Национальные информационные технологии» (НИТ), обеспечивающее работу государственных цифровых ресурсов Казахстана, сообщило, что перечисленные уязвимости работу портала eGov.kz не затрагивают. «Оснований для беспокойства пользователей в связи с данной ситуацией нет», — говорится в ответе компании.
По данным Reuters, в Нидерландах временно отключили госпортал Overheid.nl, сайты крупнейших политических партий, футбольной ассоциации KNVB, порта Роттердама и ресурсы ряда больниц. В Финляндии центр государственных IT-сервисов Valtori приостановил публичные веб-сервисы правительства, во Франции сайты префектур перевели в режим обслуживания; отключения были также в Германии и Чехии. В Японии частично останавливали онлайн-сервисы Минфина и метеорологического агентства, свою службу временно отключала налоговая, а BBC сообщала о закрытии части веб-порталов.
Amazon зафиксировала попытки эксплуатации уязвимостей против своей тестовой системы-приманки (сервера-ловушки для отслеживания атак) ещё 17 октября — за четыре дня до публичного раскрытия; при этом неясно, сработали бы эти атаки против реальных сайтов. Попытки атак уже широко фиксируются в интернете, а после выхода исправлений их технические детали стали доступнее — специалисты опасаются охоты на серверы без обновлений. Разработчики PHP выпустили патчи для актуальных веток 8.2, 8.3, 8.4 и 8.5 и призвали устанавливать их как можно скорее.
Ближе всего к Казахстану меры затронули Беларусь: хостинг-провайдер Hoster.by по распоряжению уполномоченного госоргана ограничил входящий трафик из-за пределов национального сегмента интернета для серверов виртуального хостинга. Ресурсы продолжали работать, но были недоступны из-за рубежа; утром 22 октября, после установки обновлений PHP, ограничения сняли.