Уязвимости PHP2Shell заставили британские власти отключить 32 государственных сервиса, ещё четыре работают с ограничениями. Для разработчиков и ИБ-команд это не локальная новость о проблемах Уайтхолла, а наглядный сценарий того, что происходит с публичными системами при критическом RCE: сначала изоляция, потом поиск уязвимых узлов, и лишь затем осторожное возвращение в строй.
О масштабах инцидента в Палате лордов сообщила министр технологий баронесса Ллойд из Эффры, передаёт The Register. По её словам, недоступность сервисов в основном вызвана превентивными мерами: ведомства применяют обновления и компенсирующие меры, прежде чем снова открыть системы пользователям. Подтверждённых компрометаций центральных систем правительства на момент заявления нет; позднее эта оценка была распространена и на более широкий британский госсектор.
PHP2Shell — название для двух критических уязвимостей: CVE-2026-109618 и CVE-2026-109619. Они потенциально позволяют неаутентифицированному атакующему выполнить код на уязвимом сервере. Это одна из самых неприятных категорий дефектов для любой организации: для атаки не обязательно иметь учётную запись, а последствия зависят уже от окружения сервера, его прав, сегментации сети и качества мониторинга.
Полного перечня выключенных британских сервисов власти не опубликовали. Из известных случаев — сайт Office for Budget Responsibility, который оказался недоступен особенно некстати: на следующей неделе в стране ожидается публикация бюджета. В Палате лордов также говорили о сообщениях о сбоях, затрагивающих DVLA — ведомство, отвечающее за регистрацию транспорта и водительские документы, — и полицейские сервисы. На местном уровне упоминались советы Эдинбурга, Оксфорда, Бристоля, Ламбета и Барнета.
Такой подход может выглядеть как слишком грубая мера, особенно для сервисов, которыми граждане пользуются ежедневно. Но в ситуации с удалённым выполнением кода временно закрытый сайт часто дешевле и безопаснее, чем доступный сайт, через который атакующий получает точку входа. При этом отключение не сводится к нажатию кнопки: нужно определить все затронутые экземпляры, проверить цепочки зависимостей, обновить компоненты, убедиться, что эксплуатация не началась раньше, и только потом возвращать трафик.
Атаки начались до публичного раскрытия
Причины для такой осторожности есть. AWS сообщила, что злоумышленники начали эксплуатировать эти проблемы за четыре дня до публичного раскрытия. Cloudflare позднее зафиксировала миллионы попыток использовать уязвимости. Это превращает привычную дилемму «патчить в ближайшее окно или не рисковать обновлением» в гораздо более жёсткую: потенциальный противник уже ищет доступные системы, а опубликованные признаки эксплуатации быстро попадают в сканеры и массовые кампании.
Национальный центр кибербезопасности Великобритании (NCSC) рекомендовал организациям немедленно установить исправления либо отключить затронутые системы от сети до устранения проблемы. По словам Ллойд, NCSC получил информацию о конкретной уязвимости от OpenAI за неделю до публичного раскрытия и координировал процесс с поставщиками, чтобы те успели подготовиться. До публикации деталей правительство также развернуло межведомственную операцию реагирования, а NCSC разослал около 50 тысяч предупреждений компаниям и другим организациям.
В истории есть и важный для рынка безопасности сюжет: одну из ошибок обнаружила компания Calif, использовавшая модель OpenAI GPT-5.6 Sol; обе уязвимости отдельно выявили специалисты Google Wiz с помощью ИИ-инструментов. Затем OpenAI провела собственный анализ и участвовала в координации уведомлений поставщиков и государственных структур. ИИ здесь не отменил работу исследователей и процесс раскрытия, но помог быстрее найти классический и крайне опасный дефект. Та же скорость, впрочем, работает и в другую сторону: как только сведения становятся доступными, автоматизация ускоряет поиск жертв.
Выключить сервис — тоже часть плана
Британия в этом случае не исключение. В качестве меры предосторожности свои сайты отключали государственные структуры Германии, Франции, Бельгии, Финляндии и Нидерландов; временно недоступен был и сайт австралийского киберведомства. В США Агентство национальной безопасности призвало организации закрыть уязвимые системы обновлениями или отключить их, хотя о массовом закрытии федеральных сайтов публично не сообщалось.
Для российских команд главный практический вывод не зависит от географии инцидента. Уязвимости PHP2Shell стоит искать не только на очевидных публичных веб-серверах: PHP может жить в старом кабинете партнёра, административной панели, региональном поддомене, контейнерном образе, тестовом контуре с внешним доступом или у подрядчика. Инвентаризация должна отвечать на простой вопрос: где именно запущен затронутый компонент и доступен ли он извне. Если ответа нет, время реакции уже зависит не от качества патча, а от удачи.
После обнаружения таких систем полезно разделить техническую и управленческую задачи. Техническая — поставить исправления, ограничить внешний доступ, проверить журналы на признаки попыток эксплуатации и убедиться, что резервные копии действительно можно восстановить. Управленческая — заранее решить, кто имеет право остановить сервис, как сообщить пользователям о недоступности и какой минимальный набор проверок обязателен перед включением. Опыт британского госсектора показывает, что даже централизованной структуре приходится принимать это решение по частям, ведомство за ведомством.
Отдельный вопрос — почему центральные и местные органы власти остаются вне некоторых обязательств, предлагаемых законопроектом о кибербезопасности и устойчивости, на что указала баронесса Ладфорд. Но уже сейчас инцидент с уязвимостями PHP2Shell показывает более приземлённую проблему: устойчивость цифрового сервиса измеряется не только временем безотказной работы. Иногда её подтверждает способность быстро и контролируемо стать недоступным, не превратив профилактическое отключение в полноценный инцидент с утечкой или захватом инфраструктуры.
