Критические уязвимости PHP в 2026 году: почему компаниям необходимо незамедлительно проверить безопасность своих ИТ-систем?

Критические уязвимости PHP, обнародованные 21 октября 2026 года, повлекли за собой масштабные превентивные меры безопасности в Латвии и в других странах мира. Доступ к ряду государственных цифровых услуг был ограничен, а эксперты по кибербезопасности призвали компании незамедлительно установить обновления программного обеспечения. Произошедшее в очередной раз подтверждает, что безопасность ИТ-систем, регулярное обновление программного обеспечения и защита данных являются важной составляющей непрерывности деятельности любой компании.

PHP — один из широко используемых в мире серверных языков программирования. Он обеспечивает работу не только сайтов и интернет-магазинов, но и многих внутренних систем компаний, клиентских порталов, CRM, ERP и других бизнес-решений.

21 октября 2026 года разработчики PHP выпустили экстренные обновления безопасности для устранения двух критических уязвимостей:

• CVE-2026-109618
• CVE-2026-109619

Опасность обеих уязвимостей по шкале CVSS v4.0 оценена в 9,2 балла из 10, что указывает на особенно высокий риск для безопасности.

При определённых условиях эти уязвимости могут позволить злоумышленникам удалённо выполнить вредоносный код на сервере без аутентификации пользователя.

Это означает, что угроза может затронуть не только общедоступные веб-сайты, но и связанные с ними информационные системы, базы данных и бизнес-процессы компании.

Уязвимости касаются установок PHP, обрабатывающих веб-запросы, в том числе сред PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.

Важно понимать, что само по себе использование PHP не означает, что система уже взломана. Однако использование уязвимого программного обеспечения создаёт серьёзный риск, если необходимые исправления уязвимостей не внедряются своевременно.

В ответ на международные предупреждения в сфере кибербезопасности 21 октября в Латвии было принято решение временно ограничить доступ к ряду государственных цифровых ресурсов из-за рубежа. Об этом сообщило латвийское учреждение по предотвращению инцидентов кибербезопасности CERT.LV.

Эти ограничения были введены превентивно, чтобы снизить возможный риск кибератак и дать специалистам, обслуживающим системы, возможность безопасно установить необходимые обновления.

Согласно информации, опубликованной CERT.LV, ограничения доступа в зависимости от хода внедрения обновлений могут сохраниться до 26 октября.

В обновлении от 21 октября 2026 года, опубликованном в 23:00 по латвийскому времени, CERT.LV сообщило, что в Латвии уже зафиксированы автоматизированные попытки эксплуатации уязвимостей PHP, однако на тот момент сообщений об успешных атаках не поступало.

Эта ситуация наглядно демонстрирует значение превентивной кибербезопасности. Если риск для безопасности известен, его необходимо устранить до инцидента, а не после того, как компания уже столкнулась с потерей данных или перебоями в работе.

Ситуация не ограничилась Латвией. 21 октября 2026 года правительство Нидерландов сообщило о превентивной приостановке ряда государственных цифровых услуг. Среди них были Overheid.nl, MijnOverheid.nl и DigiD.

В свою очередь, Европейское патентное ведомство (EPO) временно приостановило работу своего веб-сайта и ряда онлайн-порталов. После внедрения необходимых исправлений безопасности доступ к сервисам постепенно восстанавливался.

С совместным предупреждением выступили также Европейская комиссия, Агентство Европейского союза по кибербезопасности ENISA, CERT-EU, Европол и службы реагирования на инциденты кибербезопасности государств — членов ЕС.

Организациям было рекомендовано незамедлительно выявить системы, работающие в среде PHP, в первую очередь проверить решения, доступные из интернета, и установить опубликованные обновления безопасности.

Эти примеры показывают, насколько доступность цифровых услуг зависит от безопасности программного обеспечения и своевременного обслуживания систем.

Во многих компаниях ИТ-системы тесно связаны с повседневной работой. В них обрабатываются данные клиентов, заказы, счета, финансовая информация и документы, а также осуществляется управление внутренними бизнес-процессами. Компания может использовать технологию PHP, даже не подозревая об этом.

Она может быть частью:

• сайта или интернет-магазина компании;
• CRM- и ERP-системы;
• портала для клиентов или партнёров;
• системы управления складом и заказами;
• внутренней административной платформы;
• решения для бронирования, платежей или документооборота.

Если такие системы не обслуживаются и не обновляются регулярно, их уязвимости могут стать точкой входа для кибератак.

Утечка конфиденциальной информации

В случае несанкционированного доступа под угрозой могут оказаться персональные данные клиентов, контактная информация, история сделок, финансовые документы или коммерческая тайна компании.

Перебои в работе компании

Если в результате кибератаки система становится недоступной, компания может утратить возможность принимать заказы, обрабатывать платежи или обслуживать клиентов.

Финансовые потери

Устранение последствий инцидента, восстановление систем и данных, а также простой в работе могут повлечь значительные расходы. В некоторых случаях потери могут намного превысить затраты на своевременное обслуживание систем.

Потеря репутации и доверия клиентов

Клиенты ожидают, что их данные будут надлежащим образом защищены. Инцидент безопасности может существенно повлиять на доверие к компании и её услугам.

Юридические риски и риски в области защиты данных

В зависимости от уровня риска об утечке или ином нарушении защиты персональных данных может потребоваться уведомить надзорный орган, а в определённых случаях — и затронутых лиц. За несоблюдение требований к защите данных могут применяться санкции.

Одним из самых заметных инцидентов кибербезопасности 2026 года в Латвии стала кибератака на ИТ-инфраструктуру АО «Latvijas valsts meži» (LVM).

22 июня 2026 года компания выявила киберинцидент, в результате которого из соображений безопасности был отключён ряд внешних и внутренних информационных систем.

Была ограничена работа LVM GEO, систем картографических сервисов и охотничьего приложения Mednis. Также были недоступны несколько систем, обеспечивавших обмен информацией с клиентами и партнёрами.

Компания также сообщила о возможном несанкционированном доступе к данным клиентов, партнёров и других лиц. Позднее появились сообщения о том, что злоумышленники получили и опубликовали около 44 ГБ данных.

Особенно важна техническая причина инцидента. Общедоступная информация свидетельствует о том, что злоумышленники воспользовались ранее известной уязвимостью в системе, обновление безопасности для которой не устанавливалось около двух лет.

В ходе анализа инцидента были выявлены также проблемы с интерпретацией информации о безопасности и с управлением уязвимостями систем. Компании пришлось перестроить повседневную работу. Например, в процессе поставок древесины временно использовались бумажные накладные.

Этот случай показывает, что одна своевременно не устранённая уязвимость может затронуть гораздо более широкий круг процессов компании.

Главный урок: недостаточно просто получить предупреждение об уязвимости. Необходимо убедиться, что конкретная система проверена, риск правильно оценён, а необходимое обновление безопасности фактически установлено.

Инцидент в LVM не связан с уязвимостями PHP, обнаруженными в октябре 2026 года, однако он наглядно демонстрирует, как необновлённое программное обеспечение может повлиять на безопасность данных и деятельность компании.

Обзор Агентства Европейского союза по кибербезопасности ENISA, опубликованный в сентябре 2026 года, подтверждает, что угрозы цифровой инфраструктуре продолжают развиваться.

По данным ENISA, в 2025 году было опубликовано более 48 000 новых уязвимостей программного обеспечения (CVE). Это на 22% больше, чем годом ранее.

ENISA также указывает, что программы-вымогатели (ransomware) по-прежнему остаются одной из киберугроз с наибольшим краткосрочным воздействием на организации. В свою очередь, государственное управление по-прежнему является одной из отраслей, наиболее часто подвергающихся атакам.

Однако риски не ограничиваются государственным сектором. Они касаются также производства, торговли, финансовых услуг, логистики и других сфер предпринимательской деятельности.

По мере цифровизации бизнес-процессов растёт и зависимость компаний от стабильности ИТ-систем. Поэтому кибербезопасность — уже не только вопрос ИТ-отдела. Она является составной частью управления рисками и обеспечения непрерывности деятельности компании.

Обновления программного обеспечения — это не только новые функции или повышение производительности. Они часто включают важные исправления уязвимостей. В связи с уязвимостями PHP, обнаруженными в октябре 2026 года, разработчики выпустили следующие исправленные версии:

Особое внимание следует уделить устаревшим и более не поддерживаемым версиям PHP. Если система компании несовместима с более новыми версиями PHP, необходимо разработать безопасный и контролируемый план миграции.

Не все уязвимости заметны пользователям. Система может работать безупречно и при этом использовать устаревшие компоненты, небезопасные интеграции или неправильно настроенную серверную среду. Регулярные проверки безопасности помогают выявить эти риски до того, как ими воспользуются в ходе кибератаки.

Важные данные компании должны регулярно копироваться, надёжно храниться и при необходимости восстанавливаться. Недостаточно лишь автоматически создавать резервные копии. Необходимо также проверять возможность восстановления данных.

Сотрудникам и партнёрам должна быть доступна только та информация, которая необходима для выполнения их рабочих обязанностей. Многофакторная аутентификация, управление правами пользователей и регулярный пересмотр доступа помогают снизить риск несанкционированного доступа.

ИТ-безопасность — это не разовый проект. Технологии развиваются, обнаруживаются новые уязвимости, меняются версии программного обеспечения и потребности компании. Поэтому важно обеспечить регулярный мониторинг систем, своевременное обновление и профессиональную техническую поддержку.

С учётом уязвимостей PHP, обнаруженных в октябре 2026 года, компаниям рекомендуется незамедлительно:

1. Выяснить, в каких системах и на каких серверах используется PHP.
2. Проверить текущие версии PHP и статус их поддержки.
3. Определить общедоступные и критически важные для бизнеса системы.
4. Подготовить резервные копии и план безопасного обновления.
5. Установить соответствующие исправления уязвимостей и проверить работу систем.
6. Проанализировать журналы серверов и возможные подозрительные действия.
7. Назначить ответственных за дальнейшее обслуживание систем и мониторинг безопасности.

Если установить обновления незамедлительно невозможно, следует рассмотреть ограничение доступа к уязвимым системам, руководствуясь указаниями CERT.LV и разработчиков PHP.

Вместе с тем обновления необходимо внедрять контролируемо, проверяя совместимость систем, целостность данных и работоспособность систем после внесения изменений.

Важно: временные меры защиты не заменяют необходимых обновлений безопасности.

Компании не нужно ждать инцидента безопасности, чтобы начать заботиться о защите своей ИТ-инфраструктуры.

Команда HITEXIS готова помочь компаниям отреагировать на актуальные уязвимости PHP и обеспечить безопасность ИТ-систем в долгосрочной перспективе.

Мы предлагаем:

• оценку версий PHP и компонентов системы;
• выявление и устранение уязвимостей безопасности;
• обновление PHP и других программных компонентов;
• модернизацию существующих бизнес-систем;
• техническое обслуживание и мониторинг ИТ-систем;
• консультации по защите данных и ИТ-инфраструктуры компании.

Наша цель — не только устранить конкретную техническую проблему, но и помочь компаниям создать стабильную, надёжную и безопасную цифровую среду.

Безопасность — это не разовая задача. Это постоянная ответственность за данные, системы и бизнес-процессы компании.

Уязвимости PHP октября 2026 года — ещё одно напоминание о том, что даже широко используемые и давно зарекомендовавшие себя технологии могут столкнуться с серьёзными рисками безопасности. Киберинцидент в АО «Latvijas valsts meži», в свою очередь, показывает, к каким последствиям может привести своевременно не устранённая уязвимость.

Не всегда можно предсказать, когда будет обнаружен следующий риск безопасности. Однако к нему можно подготовиться, обеспечив профессиональное обслуживание систем, регулярные обновления, проверки безопасности и своевременное устранение рисков.

Данные компании — это ценность. Их защита — это инвестиция в стабильность, репутацию и будущее компании.

Уверены ли вы, что ИТ-системы вашей компании обновлены и защищены?

Свяжитесь с командой HITEXIS! Мы поможем оценить риски, установить необходимые обновления безопасности и обеспечить обслуживание ваших ИТ-систем.

• CERT.LV: Критические уязвимости в программном обеспечении PHP, 21.10.2026.
• CERT.LV: Превентивные меры в связи с уязвимостями PHP
• Официальные обновления безопасности PHP
• ENISA: Joint statement on critical PHP vulnerabilities
• Заявление правительства Нидерландов
• Заявление Европейского патентного ведомства
• Latvijas valsts meži: сообщение об инциденте
• CERT.LV: инцидент в АО «Latvijas valsts meži»
• LSM: анализ уязвимости LVM
• ENISA Threat Landscape 2026
• LVM: уведомление клиентов о нарушении защиты персональных данных
• LVM: возобновление поставок древесины в полном объёме
• Европейский совет по защите данных: нарушения защиты персональных данных