Критические уязвимости PHP: почему 21 октября 2026 года часть интернета ушла на «технический перерыв»
Согласно предупреждению команды PHP, уязвимости затрагивают все версии PHP, начиная с PHP 5, и все распространённые способы обслуживания веб-запросов: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed
Фактически под угрозой оказались любые установки, которые обрабатывают внешние запросы. Команда разработчиков PHP оценила риск как максимальный, а исправления были запланированы на вечер 21 октября 2026 года.
Почему патчи не дождались
Особая тревога связана с тем, что подробности об уязвимостях просочились в сеть до запланированного скоординированного раскрытия и выпуска официальных патчей. По данным Sansec, массовая эксплуатация могла начаться уже в течение 15 минут после выхода исправлений. Именно поэтому многие организации не стали дожидаться автоматического обновления и предпочли временно отключить сайты, чтобы вручную применить фиксы и исключить несанкционированный удалённый запуск кода (RCE).
Среди тех, кто приостановил работу, оказались Internet Archive, сервис BookMyName (управление доменами через Scaleway) и даже реестр доменов .de. Это наглядно демонстрирует масштаб проблемы: угроза затронула не только отдельные сайты, но и инфраструктурные сервисы.
Что это значит для владельцев сайтов
Для владельцев сайтов и DevOps-команд этот инцидент стал ещё одним напоминанием о том, что безопасность PHP-окружения требует постоянного внимания. Однако не менее важным оказался и другой аспект — контроль доступности после любых изменений. Когда сайт отключают для срочного патчинга или переносят на новую версию PHP, критически важно быстро узнать, что он снова работает корректно, а не выдаёт ошибку.
Как помогает «Контролла» (controlla.ru)
Именно для таких ситуаций предназначена платформа «Контролла» (controlla.ru). Сервис круглосуточно отслеживает доступность сайта, фиксирует код ответа сервера и время отклика, а также изменения в HTML, CSS и скорость загрузки. Если после переноса сайта на новую версию PHP он перестанет работать и начнёт отдавать 500 Internal Server Error, «Контролла» оперативно оповестит об этом ответственных сотрудников — в email, Telegram или Mattermost. Уведомление приходит раньше, чем о проблеме узнают клиенты, что позволяет быстро отреагировать и вернуть сайт в строй.
«Контролла» не требует установки какого-либо кода на сайт — платформа проверяет ресурс снаружи, так же, как это делает обычный посетитель. Подключение занимает около пяти минут, а базовый мониторинг одной страницы доступен бесплатно и без привязки банковской карты. В условиях, когда сбои могут возникать из-за срочных обновлений безопасности или миграции окружения, такой внешний контроль становится простым и надёжным способом убедиться, что сайт остаётся доступным для пользователей.