Белорусские сайты снова доступны: блокировка снята после устранения критических уязвимостей в PHP.

По данным hoster.by, к утру 22 октября все ограничения были сняты — доступ к белорусским сайтам из‑за рубежа восстановлен в штатном режиме. В компании сообщили, что для клиентов виртуального хостинга установлены обновления PHP, закрывающие уязвимости CVE‑2026‑109618 и CVE‑2026‑109619, а временная блокировка внешнего трафика для серверов виртуального хостинга — снята.

Напомним, 21 октября стало известно об обнаружении в PHP — языке, на котором работает значительная часть интернет‑ресурсов, — двух критических уязвимостей. Их оценили на 9,2 балла из 10. Эксплуатация этих уязвимостей позволяет злоумышленникам удалённо выполнять код на серверах, компрометировать сайты и похищать данные. По оценке компании watchTowr, потенциальной угрозе могли быть подвержены более 1,3 млн подключённых к сети узлов.

На проблему оперативно отреагировали власти ряда стран. В Финляндии в качестве меры предосторожности отключили все общедоступные интернет‑сервисы. В Нидерландах сделали недоступными сайты национальных и местных органов власти. Отдельные университеты в Германии и Австрии также временно закрыли свои веб‑ресурсы. Агентства по кибербезопасности в Европе, Австралии, Японии и Великобритании призвали пользователей обновить системы на базе PHP либо отключить сайты до установки необходимых исправлений.

Эксперты подчёркивают, что временные меры защиты не решают проблему полностью: единственный надёжный способ нейтрализовать угрозу — установить актуальные обновления для PHP. Так, Cloudflare усилил защиту своих клиентов, но эта мера носит лишь промежуточный характер. Белорусские специалисты по кибербезопасности также расценивают риски как высокие. В hoster.by отмечают, что разработчики PHP выпустили экстренные патчи для устранения уязвимостей, а подробности о механизмах атак обещают раскрыть одновременно с публикацией патчей.

Сейчас известен один вектор атаки — через механизм session.upload_progress, однако не исключено существование и других способов эксплуатации уязвимостей. Важно, что обновления доступны только для поддерживаемых веток PHP: 8.2, 8.3, 8.4 и 8.5. Версии 8.1 и более ранние уже не получают поддержку и, соответственно, не будут содержать необходимых исправлений безопасности.