Государственные организации и СМИ в Европе начали профилактически отключать сайты из-за двух критических уязвимостей PHP, позволяющих взломать сервер без авторизации. PHP — серверный язык, который формирует страницы сайтов, работает с базами данных и выполняет внутреннюю логику веб-сервисов. По оценке W3Techs, его используют 69,3% сайтов, для которых известен серверный язык.
Уязвимости позволяют удалённо выполнить код на сервере, получить доступ к данным или нарушить работу сервиса. Им присвоены номера CVE-2026-109618 и CVE-2026-109619.
В Финляндии 21 октября частично остановили государственные веб-сервисы, включая сайт Национальной земельной службы. В Великобритании сайты отключили Управление бюджетной ответственности, городской совет Оксфорда и совет Эдинбурга. Недоступны были и страницы некоторых программ Би-би-си (заблокирован в РФ). Компания Sophos временно закрыла собственный портал MyUTM и сообщила, что не обнаружила признаков его взлома.
Попытка эксплуатации уязвимостей была зафиксирована 17 октября, ещё до их публичного раскрытия. Cloudflare также обнаружила атаки на своих клиентов и включила защитные правила веб-экрана, но предупредила, что они не заменяют обновление PHP.
Разработчики PHP выпустили исправленные версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Они не устанавливаются автоматически: администраторам необходимо обновить PHP самостоятельно либо получить исправленный пакет от Linux-дистрибутива, хостинга или производителя устройства. Для веток 8.1 и старше обычные обновления безопасности больше не выходят. Единственным полным решением остаётся обновление. Если его нельзя провести сразу, разработчики предлагают временные меры, которые лишь снижают риск. Когда и их невозможно быстро применить, британский Национальный центр кибербезопасности рекомендует отключить доступную из интернета систему до установки защищённой версии.