Уязвимость в PHP вывела из строя сайты берлинских учреждений; большинство уже восстановлено

Около 21 октября 2026 года исследователи безопасности раскрыли две критические уязвимости в PHP — языке сценариев, на котором работает значительная часть сайтов в мире, — получившие обозначения CVE-2026-109618 и CVE-2026-109619 и объединённое название «PHP2Shell». Эти уязвимости могли позволить неавторизованному злоумышленнику выполнять произвольный код на уязвимом сервере. Федеральное управление по информационной безопасности Германии (BSI) выпустило срочное предупреждение уровня «оранжевый», потребовав немедленно обновить ПО до версии PHP 8.5.12 «уже сегодня».

В Берлине в качестве меры предосторожности отключили свои сайты университетская клиника Charité, Свободный университет Берлина (Freie Universität), Берлинский университет имени Гумбольдта, веб-сайт берлинской пожарной службы (Berliner Feuerwehr) и продовольственный банк Berliner Tafel. Онлайн-портал полиции для подачи заявлений (Internetwache) — как в Берлине, так и в Бранденбурге — также перестал работать.

Разработчики PHP выпустили исправленную версию в среду днём. К четвергу сайты Charité, Свободного университета, берлинской S-Bahn и портала berlin.de в основном снова заработали. Портал полиции Бранденбурга в четверг вечером всё ещё оставался недоступен. Федеральный министр цифровизации Карстен Вильдбергер заявил, что федеральные системы не были затронуты, но назвал произошедшее признаком того, что «мы вступаем в новую эру кибербезопасности».