АНБ и ФБР призывают срочно устранить критические уязвимости в популярном ПО для веб-сайтов

В сфере информационной безопасности объявлен высокий уровень угрозы. Разработчики широко используемого языка программирования PHP выпустили экстренное предупреждение с призывом к пользователям, разработчикам и системным администраторам незамедлительно установить обновления безопасности. Причиной стало обнаружение двух критических уязвимостей, способных привести к удаленному исполнению произвольного кода (Remote Code Execution) и угрожающих стабильности миллионов веб-ресурсов по всему миру.

Согласно официальному бюллетеню, уязвимости получили идентификаторы CVE-2026-109618 и CVE-2026-109619. Проблемы кроются в ошибках управления оперативной памятью и сохранении устаревшего внутреннего состояния системы между веб-запросами. В определенных условиях злоумышленники могут использовать эти бреши для выполнения вредоносного кода на серверах без прохождения аутентификации.

Аналитический контекст и статистические данные

Масштаб использования языка PHP превращает данную проблему в угрозу глобального характера:

• Доля рынка веб-разработки: По данным исследований W3Techs, PHP используется на 77.4% всех веб-сайтов, чьи серверные языки программирования известны. На нем работают такие платформы, как WordPress, Joomla и Drupal.

• Обширная зона риска: Около 62% корпоративных веб-приложений функционируют на базе устаревших версий PHP, что делает их идеальной мишенью для атак типа Zero-Day.

• Финансовые последствия взломов: По данным отчета IBM Cost of a Data Breach, средний ущерб для компании от утечки данных, вызванной неустраненными уязвимостями ПО, превышает 4.88 миллиона долларов США.

• Скорость реакций злоумышленников: Автоматизированное сканирование сети на предмет новых CVE начинается в среднем через 15 минут после публичного анонса.

• Угроза для веб-платформ: Крупные информационные ресурсы и любая популяризованная социальная сеть, обрабатывающая миллионы пользовательских сессий, рискуют стать объектом атаки при отсутствии своевременного обновления.

Официальная позиция ведомств: Директивы АНБ и ФБР

Серьезность ситуации подтверждается вмешательством ведущих спецслужб США. Агентство национальной безопасности (АНБ) выпустило официальный документ, предупреждая, что уязвимости дают злоумышленникам прямой доступ к файловой системе и базам данных.

"Эти уязвимости часто предоставляют прямой доступ к файловой системе сервера или базе данных. Если немедленное обновление невозможно, организациям рекомендуется отключить систему от сети до полного устранения рисков."

— Из информационного бюллетеня Агентства национальной безопасности (АНБ)

В свою очередь, Киберподразделение ФБР направило организациям список экстренных мер:

1. Полная инвентаризация: Провести срочный аудит всех внутренних и внешних серверов, на которых установлена среда PHP.

2. Приоритетное патчирование: В первую очередь обновить публичные веб-серверы и коммерческие продукты сторонних разработчиков, содержащие PHP.

3. Мониторинг процессов: Настроить непрерывный контроль за веб-серверами на предмет аномалий — в частности, отслеживать случаи, когда процессы PHP аномально запускают командные интерпретаторы (/bin/sh, cmd.exe) или скачивают внешние файлы.

Роль искусственного интеллекта: Инициатива OpenAI

Уникальной особенностью данного инцидента стало активное привлечение ИИ-технологий для поиска уязвимостей. Компания OpenAI сообщила, что ее языковые модели помогли исследователям обнаружить и проанализировать бреши в рамках программы Patch the Planet, объединяющей разработчиков открытого ПО и экспертов по безопасности.

Поскольку исправление ошибок потребовало глубокой переработки архитектуры самого движка PHP, процесс подготовки патчей занял два месяца. Благодаря предварительной работе исправления стали доступны одновременно с публичной публикацией сведений об уязвимостях.

Специалисты настоятельно рекомендуют администраторам обновить PHP до актуальных защищенных версий без промедления.