Европейската комисия, ENISA, CERT-EU и Европол предупреждават организациите да предприемат незабавни действия за отстраняване на две критични уязвимости в PHP, които позволяват отдалечено изпълнение на код без автентикация. Актуализациите бяха публикувани на 21 октомври, а препоръките обхващат както директно използващите PHP системи, така и софтуерни продукти, които го включват като зависимост.
Съвместното предупреждение е подкрепено от Генерална дирекция „Съобщителни мрежи, съдържание и технологии“ на Европейската комисия (DG CNECT), Агенцията на Европейския съюз за киберсигурност ENISA, CERT-EU, Европол – Европейския център за борба с киберпрестъпността (EC3), както и мрежата на националните екипи за реагиране при инциденти с компютърната сигурност (CSIRTs Network).
Уязвимостите са регистрирани под идентификаторите CVE-2026-109618 и CVE-2026-109619. При успешна експлоатация те могат да позволят на нападател да изпълнява злонамерен код от разстояние върху уязвим сървър, без да е необходимо предварително удостоверяване.
Екипът по сигурността на PHP публикува корекциите на 21 октомври 2026 г. в 13:40 UTC. Официалното съобщение съдържа технически подробности, засегнатите версии и изданията, в които проблемите са отстранени.
Приоритет са системите, достъпни от интернет
Европейските киберагенции препоръчват организациите незабавно да установят кои приложения и услуги използват PHP, да координират действията си с доставчиците на хостинг и управлявани услуги и да инсталират публикуваните актуализации.
Първи приоритет трябва да бъдат системите, достъпни директно от интернет. Ако незабавното отстраняване на уязвимостите е невъзможно, организациите следва да обмислят временно изолиране на изложените приложения от публичните мрежи до прилагането на корекциите.
Рискът не се ограничава до приложения, при които PHP е очевидно видим компонент. Много комерсиални и софтуерни продукти с отворен код използват PHP във вътрешната си архитектура и могат да бъдат засегнати, дори ако администраторите не са наясно с тази зависимост.
За идентифициране на подобни продукти се препоръчва справка с хранилището на нидерландския център за киберсигурност NCSC-NL, посветено на инцидента: https://github.com/NCSC-NL/php2shell.
Официалните предупреждения на националните екипи за реагиране при инциденти също трябва да бъдат следени. ENISA поддържа допълнителна информация и препоръки в специализираното си хранилище: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md.
Връзка с Акта за киберустойчивост
В предупреждението европейските институции напомнят и за задълженията по Акта за киберустойчивост (Cyber Resilience Act, CRA), установен с Регламент (ЕС) 2024/2847.
От 11 септември 2026 г. производителите на хардуерни и софтуерни продукти трябва да докладват активно експлоатирани уязвимости чрез единната платформа за докладване на CRA. Подробности за механизма са публикувани на сайтовете на Европейската комисия и ENISA.
Основните изисквания за киберсигурност по CRA ще започнат да се прилагат от 11 декември 2027 г. Те предвиждат производителите на продукти с цифрови елементи да прилагат сигурност още при проектирането и да осигуряват поддръжка през жизнения цикъл на продуктите, включително своевременно отстраняване на уязвимости.
ENISA и останалите европейски институции заявяват, че ще продължат да наблюдават заплахата и да обменят информация за поддържане на общата ситуационна осведоменост в ЕС.
