ФСБ просит срочно обновить PHP: не успеваете — отключайте
ФСБ просит срочно обновить PHP: не успеваете — отключайте НКЦКИ при ФСБ разослал операторам критической инфраструктуры требование срочно закрыть две уязвимости PHP — CVE-2026-109618 и CVE-2026-109619, известные как PHP2Shell. Обе оцениваются в 9,2 балла по CVSS 4.0 и позволяют выполнять произвольный код на сервере без авторизации. Если обновиться быстро нельзя, предписано ограничить внешний доступ к уязвимым серверам вплоть до полного отключения. Исправления вышли 21 октября в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Чешский разработчик Ондржей Сура в тот же день выпустил патчи для 12 веток, включая неподдерживаемые 5.6, 7.0–7.4 и 8.0–8.1. Обновление CMS вроде WordPress или «1С-Битрикс» само по себе дыру не закрывает — нужен именно PHP. По данным W3Techs, на PHP работают около 69,3% сайтов мира.