Госсайты в нескольких странах отключили из-за критических уязвимостей PHP

Государственные учреждения Франции, Германии, Бельгии, Нидерландов и Финляндии временно отключили часть сайтов из-за двух критических уязвимостей в PHP. Разработчики языка выпустили исправления и призвали администраторов срочно обновить серверы.

Государственные учреждения и другие организации в нескольких странах временно отключили сайты из-за риска атак на серверы с уязвимыми версиями языка программирования PHP. Во Франции недоступны сайты префектур, в Германии — часть ресурсов госучреждений, обслуживаемых провайдером ITZBund, в Бельгии — сайты МИД и ряда других ведомств. Аналогичные меры приняли организации в Нидерландах и Финляндии, сообщает «Коммерсантъ» со ссылкой на Reuters.

Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют удаленно выполнить код без аутентификации. Проблема находится в ядре PHP и может затрагивать сайты независимо от используемой системы управления контентом.

Разработчики PHP выпустили исправленные версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для PHP 8.1 и более старых веток, которые больше не поддерживаются проектом, необходимо установить исправления поставщика дистрибутива либо перейти на актуальную версию. Полностью устранить угрозу можно только обновлением; временные меры способны лишь сократить поверхность атаки.