Кратко

  • Ofcom призвал всех поставщиков услуг связи и операторов жизненно важных цифровых инфраструктурных служб срочно учесть рекомендации британского центра кибербезопасности по двум уязвимостям PHP.
  • В ближайшие дни и недели регулятор намерен обсудить с поднадзорными службами устранение уязвимостей в контексте их нормативных обязанностей.

Уязвимый PHP может обнаружиться на веб-сервере, а вопрос о сроках его ремонта — на столе регулятора. В сообщении от 23 октября Ofcom обратился ко всем поставщикам услуг связи и операторам жизненно важных служб в сегменте цифровой инфраструктуры. Им предложено срочно изучить рекомендации британского Национального центра кибербезопасности. Ofcom также намерен в ближайшие дни и недели выяснять у поднадзорных служб, как они устраняют уязвимости с учётом действующих обязанностей.

В предупреждении NCSC указаны CVE-2026-109618 и CVE-2026-109619. Ошибки обработки памяти при запросах при определённых условиях могут дать атакующему возможность удалённо выполнить код без аутентификации. PHP используют на сайтах, в административных интерфейсах и вспомогательных системах. Инвентаризация здесь важнее уверенного кивка: оператору надо найти каждое место установки, включая те, о которых вспоминают лишь после сбоя.

Проект PHP выпустил исправления в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Поставщики дистрибутивов и пакетов с длительной поддержкой могут перенести исправления в более старые ветки. Поэтому проверять следует конкретный установленный пакет и его происхождение, а не только строку с версией интерпретатора.

NCSC советует найти все установки PHP, в первую очередь заняться системами с доступом из интернета и установить исправления. Если быстро обновить их невозможно, агентство описывает временные меры; когда нельзя оперативно сделать ни то ни другое, предлагает рассмотреть отключение системы. Для службы, которую нельзя сразу обновить или отключить, рекомендуется до изменения оценить признаки возможного взлома. Такой порядок связывает информационную безопасность с непрерывностью услуг.

Новый шаг Ofcom — вывести эту цепочку решений на уровень отраслевого надзора. В сообщении нет перечня конкретных компаний и результатов проверок. Зато есть повестка будущего разговора: где работает PHP, какие узлы получили исправление и кто отвечает за оставшиеся открытыми системы?