Українцям у Німеччині варто знати: упродовж найближчих днів частина сайтів міст, відомств і компаній може не відкриватися. Причина — дві критичні вразливості в мові програмування PHP, через які сайти вимикають про всяк випадок. У Бремені в середу не працювали міський сайт bremen.de і сторінка поліції. Федеральне відомство IT-безпеки BSI оцінило загрозу як «критичність 3 із 4» (помаранчевий рівень). Станом на 21 жовтня, по обіді.
Вразливості мають номери CVE-2026-109618 і CVE-2026-109619, у фахових колах їх називають «PHP2Shell». За шкалою CVSS 4.0 кожна отримала 9,2 бала з 10. За наявними даними, зловмисник може віддалено й без авторизації запустити власний код на сервері: перехопити сайт, дістатися до даних клієнтів або використати сервер для нових атак. На PHP працює велика частина інтернету, зокрема WordPress і багато інтернет-магазинів.
Чому відомства вимикають сайти
Команда PHP заздалегідь оголосила випуск виправлень на 21 жовтня, 16:00 за німецьким часом. Технічні подробиці мали з’явитися лише разом із патчем, проте, за повідомленнями медіа, ще до цього в мережі ходили непідтверджені спроби експлойтів. Агентство ЄС із кібербезпеки CERT-EU у попередженні 2026-018 радить у крайньому разі відключати застосунки від мережі, якщо оновити їх одразу неможливо. BSI теж не знає надійних тимчасових обхідних шляхів.
Віцепрезидент BSI Томас Каспер (Thomas Caspers), як передає телеканал buten un binnen, сказав, що зловмисники можуть «за короткий час проаналізувати» вразливість за допомогою інструментів зі штучним інтелектом. Саме тому така поспішність: між виходом патча й першими масовими атаками нині нерідко минають лічені години. За даними cms-admins.de, Cloudflare вже повідомляє про атаки на сайти своїх клієнтів і змінила правила фільтрації. Сам проєкт PHP атак поки не підтверджував.
Які версії виправлено і що робити власникам сайтів
Виправлені версії — PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Для PHP 8.1 та старіших офіційних оновлень немає: потрібні бекпорти від дистрибутива Linux або перехід на новішу версію. BSI вважає вразливими навіть дуже старі гілки аж до PHP 5. Оновлення WordPress чи плагінів не замінює оновлення PHP: це окреме програмне забезпечення на сервері. Якщо ваш сайт стоїть у хостинг-провайдера, запитайте сьогодні, чи встановлено оновлення, і попросіть підтвердження письмово.
Для звичайних користувачів наслідки скромніші, але не нульові. Якщо сторінка міста, відомства чи сервісу не завантажується, найімовірніше, це обережність, а не злам. Не відкладайте записи, заяви й строки на останній день; у справах із дедлайном краще зателефонувати чи написати службі. І ще одне: після таких хвиль часто з’являються фальшиві сайти та листи про «технічні роботи» чи «підтвердження даних». Особисті дані вводьте лише на відомій вам офіційній адресі, яку набираєте самі.
Наша оцінка, з застереженням: більшість вимкнених сайтів, імовірно, повернеться за кілька днів, коли власники встановлять патчі. Складніший період настане потім. Маленькі сайти без догляду, старі сервери й пристрої з вбудованим PHP нерідко місяцями лишаються без оновлень — саме їх зазвичай і атакують. Скільки сайтів справді скомпрометують, сьогодні сказати неможливо.
Джерела: Handelsblatt, buten un binnen, netzwelt, drohnen.de (повідомлення BSI), PHP.net
