Кратко

  • После публикации сведений о двух критических уязвимостях, допускающих удалённое выполнение кода без аутентификации, ICANN временно отключила три сайта на PHP.
  • Системы заявок и публикации данных о новых gTLD продолжали работу, поскольку не зависели от PHP; сайты восстановили после проверки исправления.

Ответ ICANN обозначил чёткую границу внутри её веб-сервисов: три сайта отключились, а системы приёма заявок на новые общие домены верхнего уровня и публикации результатов продолжили работать. Разница заключалась в программном обеспечении под этими сервисами.

21 октября проект PHP выпустил предупреждение о двух критических уязвимостях, которые могли позволить удалённое выполнение кода без аутентификации. Одна связана с обработкой нехватки памяти при очистке запроса, когда его внутренние данные ещё не полностью инициализированы. Другая — с использованием устаревшего внутреннего состояния после освобождения памяти, где оно хранилось. Проект указал исправления в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

ICANN сообщила, что временно отключила сайт Организации поддержки общих имён (GNSO), а также сайты программ новых gTLD раундов 2026 и 2012 годов, поскольку они работали на PHP. По заявлению ICANN, признаков негативного воздействия на её системы не было. Сайт публикации заявок и статистики (APS) и система управления заявками на домены верхнего уровня (TAMS) оставались доступными: они не основывались на PHP.

Для заявителей это разделение имело практическое значение. Руководство заявителя для раунда 2026 года оставалось доступно через ICANN.org, пока сайт раунда был отключён. 22 октября ICANN сообщила, что применила и протестировала патч PHP Foundation, после чего восстановила все три сайта.

Отключение было коротким, но его границы оказались на виду. Публичные сайты использовали уязвимую среду PHP; системы подачи и публикации заявок находились за пределами этой зависимости. Альтернативный путь сохранил доступ к основному документу программы. Последовательность показывает, где остановилась программная зависимость: на группе страниц, а не на каждом сервисе раунда.

ICANN не указала версии PHP, установленные на этих трёх сайтах. Опубликованное описание всё же показывает устройство ответа: сайты изолировали, центральные системы оставили доступными, а восстановление провели после проверки патча.

Источники: ответ ICANN и сообщение о восстановлении; предупреждение безопасности проекта PHP.