Главное в материале
- Обнаружены две критические уязвимости PHP — CVE-2026-109618 и CVE-2026-109619, допускающие удалённое выполнение кода без аутентификации
- Минздрав, труда и соцобеспечения Японии, BASE, Токийский университет иностранных языков и Sakura Internet приостановили или ограничили сервисы
- NSA и FBI призвали к немедленному обновлению; OpenAI сообщила, что её модели помогли найти уязвимости в рамках инициативы Patch the Planet
Приостановка сервисов в Японии
В среду, 21 октября 2026 года, Япония приостановила работу ряда сайтов, включая государственные сервисы, после обнаружения критических уязвимостей в широко используемом языке программирования PHP, сообщило агентство Kyodo. Министерство здравоохранения, труда и социального обеспечения в качестве меры предосторожности временно отключило сайт системы раскрытия информации. Сервис интернет-магазинов BASE запустил экстренное обслуживание, Токийский университет иностранных языков распорядился о срочной проверке веб-серверов, а компания Sakura Internet приостановила некоторые функции сервисов.
Суть уязвимостей
Разработчики PHP в среду призвали пользователей немедленно установить обновления безопасности после выявления двух критических уязвимостей, которые позволяют злоумышленникам удалённо выполнять вредоносный код. Выпущены исправленные версии; разработчики предупредили, что атаки возможны без аутентификации. В рекомендациях команда PHP заявила, что потенциально под риском находятся все установки, обрабатывающие веб-запросы. Уязвимости идентифицированы как CVE-2026-109618 и CVE-2026-109619 и связаны с ошибками обработки памяти и устаревшими внутренними состояниями, сохраняющимися между запросами.
Реакция властей США
Агентство национальной безопасности США (NSA) призвало организации, использующие PHP, подготовиться к немедленному обновлению, предупредив, что уязвимости могут дать злоумышленникам прямой доступ к файловой системе сервера или базам данных. «Эти уязвимости часто обеспечивают прямой путь к файловой системе сервера или базе данных. Если немедленное обновление невозможно, рекомендуется отключить систему до полного устранения угрозы», — говорится в сообщении агентства, пообещавшего более подробные рекомендации. Киберподразделение FBI призвало срочно обновить затронутые установки PHP, провести инвентаризацию систем с PHP, уделив приоритетное внимание серверам с выходом в интернет и сторонним продуктам, а также отслеживать подозрительную активность — например, неожиданный запуск командных оболочек процессами PHP или скачивание файлов.
Реакция в Японии и Австралии
Национальное агентство кибербезопасности Японии призвало пользователей установить патчи безопасности. «Мы внимательно следим за ситуацией», — сообщил официальный представитель правительства. Австралийское Управление директоров сигналов (Signals Directorate) рекомендовало организациям и частным лицам отслеживать свои PHP-приложения и подготовиться к установке обновлений.
Роль OpenAI и масштаб проблемы
OpenAI сообщила, что её модели помогли исследователям обнаружить уязвимости в рамках инициативы Patch the Planet, объединившей разработчиков, исследователей и поставщиков решений в области безопасности для подготовки исправлений до публичного раскрытия информации. По словам компании, подготовка заняла два месяца, поскольку устранение уязвимостей потребовало сложного изменения движка PHP. PHP широко используется в интернете: по оценке OpenAI, он обеспечивает работу около 70% сайтов, поэтому непропатченные системы могут представлять значительные возможности для атакующих.
