Вразливість у PHP вивела з мережі сайти берлінських установ; більшість уже відновлено

Приблизно 21 жовтня 2026 року дослідники безпеки оприлюднили дві критичні вразливості у PHP — мові сценаріїв, на якій працює значна частина сайтів у світі, — позначені як CVE-2026-109618 і CVE-2026-109619 та об'єднані назвою «PHP2Shell». Ці вади могли дозволити неавтентифікованому зловмиснику виконувати довільний код на вразливому сервері. Федеральне управління з інформаційної безпеки Німеччини (BSI) видало термінове попередження рівня «оранжевий», вимагаючи негайно оновити систему до PHP 8.5.12 «вже сьогодні».

У Берліні університетська клініка Charité, Вільний університет Берліна (Freie Universität), Берлінський університет імені Гумбольдта, веб-сайт берлінської пожежної служби (Berliner Feuerwehr) та продовольчий банк Berliner Tafel як запобіжний захід відключили свої сайти. Онлайн-портал поліції для подання заяв (Internetwache) — як у Берліні, так і в Бранденбурзі — також перестав працювати.

Розробники PHP випустили виправлену версію в середу вдень. До четверга сайти Charité, Вільного університету, берлінської S-Bahn та порталу berlin.de здебільшого знову працювали. Портал поліції Бранденбургу у четвер увечері все ще залишався недоступним. Федеральний міністр цифровізації Карстен Вільдбергер заявив, що федеральні системи не постраждали, але назвав інцидент ознакою того, що «ми входимо в нову еру кібербезпеки».