Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ направил владельцам объектов критической информационной инфраструктуры предупреждение о двух опасных уязвимостях в PHP. Об этом сообщает РБК со ссылкой на письмо центра от 22 октября 2026 года.

Рекомендации касаются информационных систем госорганов, банков, энергетических, транспортных, медицинских и других организаций, относящихся к критической инфраструктуре.

Компаниям предписано обновить PHP до исправленной версии, после чего проверить серверы антивирусом и изучить журналы событий на признаки взлома. Если оперативно установить обновление невозможно, необходимо рассмотреть ограничение внешнего доступа к уязвимым серверам вплоть до временного отключения. О подозрительных инцидентах следует сообщать в ГосСОПКА.

Причиной предупреждения стали две критические уязвимости PHP с оценкой опасности 9,2 из 10 баллов. Они позволяют злоумышленникам удаленно получать доступ к серверам, похищать пароли и другие конфиденциальные данные. Разработчики PHP выпустили экстренное обновление 21 октября.

По данным W3Techs, PHP используется на 90,8% русскоязычных сайтов. Эксперты предупреждают, что обновление отдельных систем управления контентом, например WordPress или Drupal, не устраняет проблему — необходимо обновить сам PHP.

На фоне обнаруженных уязвимостей некоторые государственные и коммерческие сайты в разных странах уже временно ограничивали работу.