Госсайты отключаются по всему миру из-за «дыры» в PHP. Wikipedia выключила часть систем

Меры, принятые государствами

В языке программирования PHP обнаружили две критические уязвимости из-за этого европейские и американские правительства начали отключать свои веб-сайты, пишет Reuters.

В октябре 2026 г. властям и профильным структурам ряда государств пришлось обратиться к администраторам интернет-ресурсов с требованием как можно быстрее внедрить патчи безопасности для языка PHP. Основанием стали две критические уязвимости, открывающие возможность удаленного доступа к серверам без прохождения авторизации.

22 октября 2026 г. фонд Wikimedia, отвечающая за развитие всемирной интернет-энциклопедии «Википедия», сообщил о временной приостановке отдельных онлайн-систем. В Финляндии временно остановили работу части государственных онлайн-сервисов. В Нидерландах отключили сайты Национального центра кибербезопасности, института общественного здравоохранения и нижней палаты парламента. Министерство внутренних дел Франции заявило об отключении сайтов префектур. В Германии правительственный провайдер ИT-услуг ITZBund сообщил об отключении некоторых сайтов государственных учреждений. Министерство иностранных дел Бельгии и некоторые другие учреждения также отключили свои сайты. Сопоставимые предупреждения опубликовали Агентство национальной безопасности США, а также киберведомства Великобритании, Европейского союза и Австралии.

«В российском сегменте интернета обнаружено около 50 тыс. потенциально уязвимых веб-приложений на PHP. Организациям рекомендуется заранее проверить используемые версии PHP и подготовиться к установке обновлений сразу после их выхода», - предупредил руководитель платформы Bi.Zone WAF Алексей Романов.

Премьер-министр Японии Санаэ Такаити (Sanae Takaichi) призвала операторов сайтов немедленно проверить наличие PHP и установить обновления. При невозможности оперативного патчинга она рекомендовала временно вывести ресурсы из эксплуатации.

Европейская группа реагирования на компьютерные ИТ-инциденты CERT-EU указывает, что уязвимости могут позволить злоумышленникам удаленно исполнять код на серверах, внедрять вредоносные программы и похищать данные.

Технический директор Cloudflare Дейн Кнехт (Dane Knecht) сообщил, что компания уже регистрирует первые попытки эксплуатации.

Критические ИТ-уязвимости

Две ИТ-уязвимости, исправления к которым, как и обещали разработчики PHP, уже были выпущены, получили оценку в 9,2 из 10 баллов по одной из версий шкалы оценки опасности. К ним уже появились публичные технические материалы об эксплуатации.

Ошибки обнаружили специалисты по кибербезопасности компаний Calif и Wiz (принадлежащая Alphabet). Они сообщили, что им удалось найти эти ИТ-уязвимости с помощью онлайн-инструментов с технологией искусственного интеллекта (ИИ) - как собственных ИТ-разработок компании, так и Google Gemini 4 Argon и OpenAI GPT-5.6 Sol. По их сведениям, уязвимости оставались неизвестными более десяти лет. В Wiz назвали их наиболее значимыми из тех, что были выявлены с помощью ИИ. Исследователи оценивают потенциальный охват примерно в 70% веб-ресурсов.

PHP широко применяется в популярных сontent management system (CMS) - WordPress, Drupal и Joomla. По данным CERT-EU, проблема затрагивает версии языка начиная с PHP 5 - 2004 г. Для актуальных релизов уже выпущены исправления; владельцам устаревших версий рекомендуется перейти на поддерживаемые выпуски.

Частотность ошибок при программировании

Российская компания по информационной безопасности (ИБ) неожиданно столкнулась с гигантским объемом работ по выявлению ИТ-уязвимостей программного кода, который генерируют отечественные ИТ-компании, финтех и реальный сектор экономики, информировал CNews.

Платформа управления безопасной разработкой программного обеспечения (ПО) AppSec.Hub обработала внушительный объем в 550 млн строк кода (на май 2026 г., объем кода под анализом), находками стали 3 млн ИТ-уязвимостей. Одна из причин роста - вайбкодинг (это способ создавать программы и приложения, объясняя задачу ИИ словами вместо написания кода вручную), а среди лидирующих языков программирования по числу находок в области уязвимости названы Python, Java, PHP.

«Контроль доступа остается лидирующей категорией среди опасных ИТ-уязвимостей уже на протяжении многих лет: в рейтинге open web application security project (OWASP) top 10 категория Broken Access Control удерживает первое место каждый год начиная с 2023 г., а ее доля выросла с 41% до 44%», - рассказал CNews руководитель продукта AppSec.Hub компании AppSec Solutions Кирилл Гаранов.

В AppSec Solutions привели ключевую статистику по ИТ-уязвимостям. Универсально «безопасного» стека нет, считают в компании. По плотности серьезных находок на 1 тыс. строк лидирует Python (2,11), но это небольшая база (около 1 млн строк в зоне риска), где плотность неустойчива. Крупнейшие стеки - JavaScript и Java (по примерно 9 млн строк в зоне риска) - держат умеренную плотность, но по абсолютному числу серьезных находок впереди Java (около 2,4 тыс.), в PHP находок мало, но 8 из 10 из них - серьезные. У C# плотность по всем находкам вторая (1,78), но серьезное - лишь около четверти из них, у C++ наоборот - находок мало, но серьезны все (плотности совпадают: 0,98).