В Беларуси ограничили доступ к сайтам из-за критических уязвимостей PHP (обновлено)
По причине двух критических уязвимостей в PHP в Беларуси ограничили трафик из-за пределов национального сегмента интернета. Об этом сообщает провайдер IT-инфраструктуры hoster.by.
В Беларуси 21 октября были введены ограничения на входящий интернет-трафик из-за двух критических уязвимостей в PHP – CVE-2026-109618 и CVE-2026-109619.
Они могут позволить злоумышленникам выполнить вредоносный код на веб-серверах и затронуть сайты, работающие на большинстве современных систем управления контентом.
В связи с этим согласно распоряжению уполномоченного госоргана в сфере кибербезопасности, в Беларуси был ограничен доступ к веб-ресурсам из-за пределов национального сегмента интернета.
Сами сайты продолжат работать, однако пользователи из других стран не смогут открыть их напрямую. При этом доступ для доверенных сетей крупных поисковых ботов, включая Google и Яндекс, сохранится.
ОБНОВЛЕНО. Утром 22 октября hoster.by сообщил о том, что ограничения внешнего трафика в связи с критическими уязвимостями в PHP были сняты.
Экстренные обновления
Обе уязвимости получили оценку критичности 9,2 из 10. Разработчики PHP выпустили обновления безопасности для версий 7.4, 8.0, 8.1, 8.2, 8.3, 8.4 и 8.5.
На данный момент известный механизм атаки связан с обработкой загрузки файлов в сессиях PHP – session.upload_progress. При этом разработчики не исключают существования других способов эксплуатации уязвимостей.
Пользователям рекомендуют как можно скорее установить исправления. Для проектов, которые пока нельзя перевести на PHP 8.3 или новее, доступны обновленные версии более ранних веток. Перед обновлением необходимо проверить совместимость сайта с выбранной версией PHP.
Если установить исправления оперативно невозможно, разработчики советуют применить временные меры защиты, перечисленные в официальном сообщении PHP. Однако такие меры лишь снижают риск и не заменяют обновление.
Сайты отключали и в других странах
Уязвимости вызвали меры предосторожности и за пределами Беларуси: доступ к некоторым государственным сайтам и ресурсам организаций временно ограничили в Германии, Франции, Бельгии, Нидерландах и Финляндии.
Компания Cloudflare уже сообщила о первых кибератаках, связанных с этими уязвимостями.
Одну из уязвимостей нашли с помощью искусственного интеллекта в рамках инициативы Patch the Planet. Независимо от этого компания Wiz также выявила обе проблемы и сообщила о них разработчикам.
Подготовка исправлений проходила в координации с исследователями и специалистами по кибербезопасности до публичного раскрытия подробностей.