Сайти урядів ЄС та Канади вимкнені після розкриття вразливості PHP

Урядові сайти вийшли офлайн

Урядові сайти Нідерландів, Данії, Франції та Фінляндії вимкнули як запобіжний захід після того, як PHP Foundation оголосила про випуск безпекового оновлення, яке усуває дві критичні вразливості. Reuters повідомив, що ці чотири уряди вимкнули принаймні частину сайтів як запобіжний захід.

У Канаді міністр штучного інтелекту та цифрових інновацій Еван Соломон опублікував у X повідомлення про рішення тимчасово вимкнути урядові сайти. Соломон також підтримав заклик до всіх операторів веб-сайтів, які використовують PHP, якнайшвидше застосувати оновлення.

Масштаб вразливості

PHP - це мова програмування, яку використовують провідні сервіси публікації веб-сайтів, зокрема WordPress і Drupal. Ці вразливості існували роками і лише нещодавно були виявлені за допомогою інструментів штучного інтелекту, які використовують кібербезпекові компанії. Дві вади зареєстровані як CVE-2026-109618 і CVE-2026-109619; вони стосуються всіх інсталяцій PHP, що обслуговують веб-запити, включно з PHP 5, випущеним у липні 2004 року. Патчі досі отримують лише PHP 8.2 і новіші версії.

За словами Тіфані Фарріс, тимчасової виконавчої директорки Drupal Association, усі сервери, на яких працює будь-яка версія PHP, випущена за останні 20 років, є вразливими. Фарріс заявила, що проблема впливає на більшість Інтернету.

Ці вади могли б дозволити хакеру проникнути в систему, що працює на PHP, і потенційно взяти її під контроль. PHP Foundation заявила, що повних засобів пом'якшення немає і що оновлення є єдиним безпечним вибором.

Офіційні реакції

Головною реакцією уряду США було повідомлення CISA із закликом до організацій оновитися до нового патча від PHP Foundation. У заяві Reuters Білий дім повідомив, що дізнався про проблему в п'ятницю.

Попередній матеріал: PHP2Shell виправлення вийшли: що під загрозою і як захистити PHP-сайти

Джерела: Engadget · Wired