Уязвимость PHP — повод для блокировок. Что под ударом? Разбор №43

Попутно мы нашли системные блокировки одного из зарубежных хостингов. С PHP они не связаны, но формат блокировки демонстрируют отлично.
Аватар - Теплица социальных технологий
Теплица социальных технологий
ВРЕМЯ НА ЧТЕНИЕ 13 МИН
27 октября 2026
Что это за рубрика

В рубрике «Разбор Теплицы» мы в режиме реального времени разбираемся в определённой проблеме, новостях интернет-цензуры и рассказываем:

  • что происходит;
  • как это устроено;
  • как с этим можно бороться.

20 октября 2026 года команда PHP выпустила экстренные исправления двух критических уязвимостей с оценкой 9,2 по CVSS v4.0. Изначально PHP собиралась выпустить исправления 21 октября, но информация об уязвимостях утекла через пост на Hacker News — и пришлось перестраиваться.

21 октября PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Уязвимости CVE-2026-109618 и CVE-2026-109619 получили общее название PHP2Shell (от PHP к shell, через уязвимость в PHP атакующий получает командную строку сервера). Они позволяют выполнить код на сервере без авторизации. Исследователи Wiz показали эксплуатацию на стандартных образах WordPress, Drupal и Joomla.

Попытки атак начались до выхода исправлений. Cloudflare блокировал их своим WAF с 03:02 UTC 21 октября.

PHP имеет большое значение для инфраструктуры в госсекторах самых разных стран, в том числе России. 22 октября Национальный координационный центр по компьютерным инцидентам (НКЦКИ, действует при ФСБ) разослал через ГосСОПКА письмо объектам критической информационной инфраструктуры (КИИ). В нем НКЦКИ предписал обновить PHP, проверить серверы антивирусом и журналы на следы взлома, а если быстро обновиться нельзя, «рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам вплоть до их отключения».

Само по себе такое требование стандартно. Служба кибербезопасности институтов ЕС CERT-EU рекомендовала изолировать от публичной сети ресурсы, которые нельзя быстро обновить. Агентство национальной безопасности США рекомендовало в таком случае отключать системы. В Германии, Франции, Бельгии, Латвии и Нидерландах госструктуры отключали свои сайты, например, в Нидерландах среди них оказались порт Роттердама, сайты пяти крупнейших партий и ряда больниц, а в Латвии — сайты муниципалитетов, сервис с медицинскими данными и ресурсы коммунальных служб.

Другое дело, что любая уязвимость может оказаться поводом для укрепления цензуры. В России такое уже происходило.

Дата Что произошло
02.03.2022 НКЦКИ опубликовал списки из 17 576 IP-адресов и 166 доменов для блокировки и посоветовал переносить DNS-зоны к российским операторам, под предлогом DDOS
24.10.2024 Директор ЦМУ ССОП сообщил о «сканере безопасности», который проверяет весь Рунет и может блокировать уязвимости на уровне ТСПУ
07.12.2024 РКН заявил, что не может защитить сайты на зарубежных хостингах от DDoS-атак, и пригрозил ограничить восемь зарубежных провайдеров
28.02.2025 Приказ РКН № 51 обязал операторов передавать адреса оборудования абонентов с привязкой к ТСПУ, официально ради противодействия атакам (Разбор №36)
09.06.2025 Соединения с сайтами за Cloudflare, Hetzner, DigitalOcean и другими начали зависать после примерно 16 КБ данных, Cloudflare это подтвердил
01.03.2026 Вступило в силу постановление правительства о централизованном управлении сетью связи общего пользования, хостеры обязаны исполнять указания ЦМУ ССОП (Разбор №39)
август 2026 РКН перешел к блокировке целых подсетей хостеров (Разбор №37)
11.09.2026 ГРЧЦ поручил операторам бороться с уязвимостью роутеров MikroTik
07.10.2026 Selectel по запросу ЦМУ ССОП заблокировал аккаунт частного DNS-сервиса Xbox DNS
20.10.2026 PHP анонсировал экстренное исправление критических уязвимостей
22.10.2026 НКЦКИ предписал объектам КИИ обновить PHP или ограничить доступ к сайтам

Как РКН может использовать PHP2Shell для новых блокировок?

Что добавляет PHP2Shell? Варианты цензуры.

  1. Блокировка подсетей очередных зарубежных хостингов, которые пока работают из России, и объяснять ее тезисом «зарубежный хостинг небезопасен» 
  2. Блокировать российские серверы с меткой «уязвимый» через «сканер безопасности» ЦМУ ССОП, по образцу истории с MikroTik и кейсом с Xbox DNS

Блокировка зарубежных подсетей от уязвимости PHP2Shell никак не защищает. На PHP работают 90,8% сайтов на русском языке, то есть уязвимых серверов внутри Рунета больше, чем снаружи. Атаковать их можно с любых адресов, в том числе российских, поэтому блокировка подсетей от атак не защищает.

Может ли письмо НКЦКИ закрыть российские сайты от внешнего мира?

Письмо НКЦКИ говорит об «ограничении внешнего доступа». Часть российских госсайтов уже закрыта от зарубежных и дата-центровых адресов: перед выборами в Госдуму мы фиксировали таймауты у сайтов избиркомов из Европы. Также недоступность госсайтов из-за рубежа отслеживает проект «Национальный цифровой архив». Очевидно, что после письма НКЦКИ такая практика распространится на сайты КИИ и пользователи за рубежом и с VPN потеряют доступ к еще большей части российских ресурсов.

По каким признакам будет видно, что сценарий сбывается?

  1. поручения ГРЧЦ операторам или указания ЦМУ ССОП хостерам об «уязвимых» серверах
  2. бюллетени НКЦКИ или новые волны блокировки подсетей со ссылкой на PHP2Shell
  3. заявления РКН или ЦМУ ССОП, где PHP связывают с зарубежным хостингом и сайтами

Что под ударом?

  • Ноды. Сейчас в РФ более менее работают VPN на протоколах VLESS, Shadowsocks и AmneziaWG. Но протокол здесь не поможет, если блокировка по IP адресу и недоступен сам сервер
  • Серверы подписок. Если заблокирована подсеть сервера подписок, ваш пользователь не сможет обновить конфиги
  • Сайт ВПН-сервиса и личный кабинет. Если они в той же подсети, пользователь не сможет оплатить подписку или скачать инструкции и конфиги.

Российский входной сервер в каскадной схеме вашего VPN или нода с сайтом-заглушкой на PHP, например WordPress для маскировки, может получить от «сканера» метку «уязвимый». Это даст формальный повод для блокировки или для указания хостеру..

Что показали наши замеры?

Мы провели замер 25 октября 2026 года ряда зарубежных хостингов.

Наши ноды:

  • эталонная нода (ЕС, домашний ШПД) для сравнения;
  • две измерительные ноды в России (Москва и Санкт-Петербург, дата-центры одного хостинг провайдера);
  • измерительная нода в России (Санкт-Петербург, домашний ШПД).

С каждой ноды мы проверяли зарубежные хостинги четырьмя тестами: ping, TCP-соединение, защищенное рукопожатие (TLS) и передачу файла около 1 МБ (на своих серверах и Cloudflare в обе стороны, на остальных только скачивание). Целями были наши собственные тестовые серверы у четырех хостеров — два в Финляндии и два в Германии и публичные тестовые файлы OVH, Cloudflare и Vultr. 

Хостинг Москва (ДЦ) Санкт-Петербург (ДЦ) Санкт-Петербург (ШПД) Эталон (ЕС)
Hostkey, Финляндия, тестовый сервер TCP-соединение есть, TLS-рукопожатие не завершается TCP-соединение есть, TLS-рукопожатие не завершается TCP-соединение есть, TLS-рукопожатие не завершается работает
Hetzner, Германия, тестовый сервер Работает  Работает  Работает только на скачивание, отдача зависает на таймаут  работает
Небольшой хостинг, Финляндия, тестовый сервер работает работает работает работает
Небольшой хостинг, Германия, тестовый сервер работает работает работает работает
OVH (публичный файл) Работает только на скачивание, отдача не тестируется сервисом Работает только на скачивание, отдача не тестируется сервисом Работает только на скачивание, отдача не тестируется сервисом работает
Cloudflare (публичный файл) Работает только на скачивание, отдача не тестируется сервисом Работает только на скачивание, отдача не тестируется сервисом Работает только на скачивание, отдача не тестируется сервисом работает
Vultr, Германия (публичный файл) Работает только на скачивание, отдача не тестируется сервисом Работает только на скачивание, отдача не тестируется сервисом Работает только на скачивание, отдача не тестируется сервисом работает

Ping до всех целей проходил со всех нод. А вот TLS рукопожатие завершается не на всех серверах. С сервера Hetzner из домашней сети в Санкт-Петербурге скачивание проходило, а при отдаче сервер не получал ни байта данных (3 попытки из 3).

Что происходит с Hostkey?

С трех российских нод TCP-соединение с одним из серверов на Hostkey устанавливалось, а защищенное TLS рукопожатие не завершалось ни разу: 10 попыток из 10. Сервер видел каждое подключение и ждал продолжения рукопожатия, пока не закрывал соединение по таймауту. С эталонной ноды в ЕС в те же минуты сервер работал без нареканий.

Результат не зависел от SNI (имени сайта), которое клиент передает в начале рукопожатия. С домашней ноды в Санкт-Петербурге мы пробовали два разных незаблокированных в РФ имени (nvidia.com и example.com ), результат был одинаковым.

TCP-соединение устанавливается тремя короткими пакетами без содержимого. Затем клиент отправляет первое сообщение TLS рукопожатия, а дальше обмен прерывается: фильтр пропускает только установку TCP-соединения, но не пропускает шифрованные данные. Поскольку имя сайта роли не играло, очевидна блокировка по IP-адресу.

Это не первый такой случай с Hostkey. У одной из бригад VPN Generator перестали работать ключи на сервере Hostkey. Первые жалобы ее пользователей поступили днем 21 октября. В то же время другой сервер на Hostkey, никак не связанный с VPN Generator, в те же дни перестал работать из России независимо от протокола, а замеры 25 октября это подтвердили.

Очевидно заблокировали часть подсетей хостинга,  так как одновременно перестали работать два не связанных между собой сервера одного хостинга.

Связана ли блокировка Hostkey с PHP2Shell?

Неизвестно. Первые жалобы пришли около 11:00 UTC 21 октября, примерно за три часа до выхода исправлений PHP. Технических деталей уязвимостей к тому моменту не было, анонс 20 октября их не содержал, а письмо НКЦКИ разослали на следующий день.

Блокировка Hostkey совпала с PHP2Shell по дате. Волны блокировок VPN в 2026 году идут регулярно: VPN Generator сообщал о сбоях 4 сентября, 21 сентября и 15 октября, (Разбор №37). Очевидно, что подсети, где стоят серверы VPN-сервисов, блокируют волнами.

Рекомендации разработчикам VPN-сервисов

  1. Разносите ноды по разным хостерам и автономным системам. На примере Hostkey видно, что одна волна блокировки подсетей выключает все серверы, которые в нее попали, независимо от протокола и владельца (будь то массовый сервис или ваш личный семейный селф хостед).
  2. Лучше иметь сервер подписок отдельно от нод. Разместите резервный URL подписки у другого провайдера в другой автономной системе и пропишите в клиенте несколько URL. Тогда блокировка одной подсети не лишит пользователей обновлений конфигов.
  3. Проверяйте доступность из России полным TLS-хендшейком, а не только TCP. При блокировке, как у Hostkey, проверка порта командой nc -zv покажет, что порт открыт, хотя сервер фактически недоступен. Для TLS-протоколов минимальная проверка выглядит так: 

openssl s_client -connect ваш_сервер:порт -servername ваш_SNI

для VLESS нужен реальный клиент (xray, sing-box), как мы рекомендовали в разборе №37. Запускайте проверки регулярно и желательно автоматически, с основных мобильных и популярных домашних провайдеров

  1. Держите с пользователями несколько каналов связи, которые работают без VPN. Telegram без VPN в России не работает, поэтому одного его мало. Если взаимодействуете с пользователем по почту отправляйте ему инструкции и конфиги на нероссийские ящики, например Gmail. Обычными письмами на «Яндекс» и Mail.ru не отправляйте вообще ничего: незашифрованное письмо читает почтовый провайдер и при любом запросе силовиков выдаст любую информацию. Еще один канал: Delta Chat, мессенджер поверх почты со сквозным шифрованием, который работает даже в режиме белых списков, в том числе через российские почтовые сервисы, но содержимое переписки видите только вы и пользователь.
  2. Создавайте сайты-заглушки на нодах статическими, без PHP и CMS. Статический HTML нельзя взломать через уязвимость интерпретатора, это не гарантия что не заблокируют, но формально «сканеру» не за что прицепиться.
  3. Держите на российском входном сервере каскадного ВПН (если у вас такой) только необходимое. Никаких панелей, сайтов и сервисов на PHP.
  4. Обновите PHP везде, где он есть: биллинг, лендинги, панели управления. Исправления есть в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для веток 8.1 и старше нужны бэкпорты от вашего дистрибутива или переход на поддерживаемую версию.

Источники

  1. PHP. Upcoming Critical PHP Security Release. 20.10.2026. https://www.php.net/archive/2026.php#2026-10-20-1
  2. PHP (GitHub). PHP 8.4.27 release. 21.10.2026. https://github.com/php/php-src/releases/tag/php-8.4.27
  3. BleepingComputer. PHP warns admins of two critical flaws, emergency patches coming tomorrow. 20.10.2026. https://bleepingcomputer.com/news/security/php-warns-admins-of-two-critical-flaws-emergency-patches-coming-tomorrow
  4. BleepingComputer. PHP ships emergency patches for critical PHP2Shell flaws. 21.10.2026. https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/
  5. Wiz Research. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet. 21.10.2026. https://wiz.io/blog/php2shell-php-rce
  6. PPC Land. Cloudflare blocks php2shell exploits 9 hours before PHP flaws went public. 21.10.2026. https://ppc.land/cloudflare-blocks-php2shell-exploits-9-hours-before-php-flaws-went-public/
  7. РБК. «Центр ФСБ отреагировал на выявленную ИИ уязвимость сайтов». 22.10.2026. https://www.rbc.ru/technology_and_media/22/10/2026/6ada3f589a79475002a9c892
  8. «Медуза». «ФСБ велела отключить сайты критической инфраструктуры России из-за уязвимостей в языке программирования PHP». 23.10.2026. https://meduza.io/news/2026/10/23/fsb-velela-otklyuchit-sayty-kriticheskoy-infrastruktury-rossii-iz-za-uyazvimostey-v-yazyke-programmirovaniya-php
  9. «Важные истории». «ФСБ предписала объектам критической инфраструктуры срочно обновить PHP до исправленной версии». 22.10.2026. https://istories.media/news/2026/10/22/fsb-predpisala-obektam-kriticheskoi-infrastrukturi-srochno-obnovit-php-do-ispravlennoi-versii/
  10. The Next Web. EU cybersecurity team says unpatched PHP sites may need to go offline. 21.10.2026. https://thenextweb.com/news/php-vulnerability-cert-eu-websites-offline
  11. Reuters (The Star). Factbox: Websites taken offline over PHP risks. 21.10.2026. https://www.thestar.com.my/tech/tech-news/2026/10/21/factbox-websites-taken-offline-over-php-risks
  12. Newsweek. PHP vulnerability PHP2Shell. 21.10.2026. https://www.newsweek.com/php-vunerability-php2shell-issue-websites-hack-server-12601225
  13. «Новая газета Европа». «Сайты властей и СМИ по всему миру отключили из-за критических уязвимостей в PHP». 21.10.2026. https://novayagazeta.eu/articles/2026/10/21/saity-vlastei-i-smi-po-vsemu-miru-otkliuchili-iz-za-kriticheskikh-uiazvimostei-v-php-razrabotchiki-uzhe-vypustili-ispravleniia-news
  14. W3Techs. Distribution of server-side programming languages among websites that use Russian. Октябрь 2026. https://w3techs.com/technologies/segmentation/cl-ru-/programming_language
  15. The Hacker News. Russia Releases List of IPs and Domains Attacking Its Infrastructure With DDoS Attacks. 04.03.2022. https://thehackernews.com/2022/03/russia-releases-list-of-ips-domains.html
  16. «Интерфакс». «Сканер безопасности» выявил более 26 тыс. критических уязвимостей в рунете. 24.10.2024. https://www.interfax.ru/russia/988442
  17. Хабр. «РКН может заблокировать в РФ работу GoDaddy, Kamatera, Network Solutions, Ionos, HostGator, DigitalOcean, AWS и Hetzner». 07.12.2024. https://habr.com/ru/news/864700/
  18. ntc.party. «Блокировка Cloudflare, OVH, Hetzner, DigitalOcean… 09.06.2025». https://ntc.party/t/%D0%B1%D0%BB%D0%BE%D0%BA%D0%B8%D1%80%D0%BE%D0%B2%D0%BA%D0%B0-cloudflare-ovh-hetzner-digitalocean-09062025-xxxxxxxx/17013
  19. Cloudflare. Russian Internet users are unable to access the open Internet. 26.06.2025. https://blog.cloudflare.com/russian-internet-users-are-unable-to-access-the-open-internet/
  20. Постановление Правительства РФ от 27.10.2025 № 1667 «Об утверждении Правил централизованного управления сетью связи общего пользования» (Гарант). https://garant.ru/products/ipo/prime/doc/412901371
  21. «Новая газета Европа». «РКН провел новую масштабную волну блокировок VPN-сервисов». 05.08.2026. https://novayagazeta.eu/articles/2026/08/05/rkn-provel-novuiu-masshtabnuiu-volnu-blokirovok-vpn-servisov-news
  22. VPN Generator, Telegram-канал. Посты от 04.09.2026, 21.09.2026 и 15.10.2026. https://t.me/vpngen/618 , https://t.me/vpngen/628 , https://t.me/vpngen/639
  23. «Национальный цифровой архив». «Госсайты вне архива». https://ruarxive.org/russia-blocked/
  24. «Медуза». «Как можно обойти белые списки? Попробуйте мессенджер Delta Chat». 04.05.2026. https://meduza.io/episodes/2026/05/04/kak-mozhno-oboyti-belye-spiski-poprobuyte-messendzher-delta-chat
  25. Теплица социальных технологий. «Хостеры под контролем: как провайдеров заставляют следить за VPN, и что с этим делать. Разбор #5». 12.05.2026. https://te-st.org/2026/05/12/hostingrules/
  26. Теплица социальных технологий. «Россия скрывает сайты про «выборы» от иностранцев и пользователей с VPN. Разбор #32». 09.09.2026. https://te-st.org/2026/09/09/novote/
  27. Теплица социальных технологий. «Блокировки роутеров MikroTik можно считать цензурой под видом «защиты инфраструктуры». Разбор №36». 29.09.2026. https://te-st.org/2026/09/29/mikrotik/
  28. Теплица социальных технологий. «Изучаем очередную атаку на VPN на примере VLESS. Разбор №37». 30.09.2026. https://te-st.org/2026/09/30/vlessmore/
  29. Теплица социальных технологий. «Власти усиливают давление на частные DNS и личные серверы. Пример Xbox DNS. Разбор №39». 12.10.2026. https://te-st.org/2026/10/12/xboxdns/
  30. Теплица социальных технологий. Замеры доступности сервисов «Теплицы», 25.10.2026 (собственные данные).

Еще по теме
  1. Связаны ли «белые списки» с прилетами дронов? Разбор №34