Разбор инцидента с PHP: две уязвимости, парализовавшие миллионы немецких сайтов

22 октября 2026 года газета Tagesspiegel опубликовала подробный анализ того, как две недавно обнаруженные уязвимости PHP (CVE-2026-109618 и CVE-2026-109619, получившие название PHP2Shell) привели к массовому отключению сайтов по всей стране. PHP, на котором, по оценкам, работает значительная часть сайтов в мире — включая новостные порталы на WordPress, интернет-магазины и государственные системы, — оказался под угрозой после того, как сведения об уязвимостях случайно стали достоянием общественности еще до появления патча. Федеральное управление по информационной безопасности (BSI) выпустило срочное предупреждение в среду в 14:06, потребовав от администраторов «установить обновление безопасности уже сегодня».

Масштаб отключения был впечатляющим: в течение нескольких часов десятки немецких государственных учреждений отключили свои сайты, включая клинику «Шарите», Свободный университет и Университет имени Гумбольдта, пожарные службы Берлина и других городов, а также интернет-порталы для подачи заявлений в полицию Берлина и Бранденбурга. Разработчики PHP выпустили версию PHP 8.5.12 в тот же день во второй половине дня.

В статье приводятся слова экспертов по кибербезопасности, предупреждающих, что атаки с использованием искусственного интеллекта сокращают время между обнародованием уязвимости и её массовой эксплуатацией с дней до часов, что они назвали «переломным моментом» в безопасности инфраструктуры. Федеральный министр по цифровизации Карстен Вильдбергер подтвердил, что федеральные системы не были затронуты, но признал, что инцидент демонстрирует необходимость почти мгновенного устранения уязвимостей.