Цифровой Казахстан пропустил главную киберугрозу 2026 года

Алина Рахимова 23.10.2026, в 09:51

Пока Европа и Япония в экстренном порядке отключали собственные госсайты, в Казахстане публичных предупреждений о критической уязвимости PHP от уполномоченных органов так и не прозвучало. Polites News проверила 15 сайтов госорганов и нацкомпаний: PHP работает на всех, а два прямо сообщают, что сидят на версии, брошенной разработчиками ещё в 2022 году.

21 октября у жителей Нидерландов перестал открываться государственный портал Overheid.nl. Следом погасли сайты политических партий, футбольной ассоциации KNVB, порта Роттердама и нескольких больниц. Финский госцентр IT-сервисов Valtori выключил публичные веб-сервисы правительства, французские префектуры перевели сайты в режим техработ, в Японии частично встали онлайн-сервисы Минфина, метеоагентства и налоговой.

Это не последствия взлома. Правительства отключали сайты сами, на опережение. Причина — PHP2Shell, две критические уязвимости в языке, на котором работает около 70% сайтов с известной серверной технологией. Через них можно захватить веб-сервер, не зная ни логина, ни пароля.

Американское агентство CISA, британский NCSC и CERT-EU в один голос призвали: обновляйтесь немедленно, а если не можете — отключайтесь. В Казахстане публичных предупреждений от KZ-CERT, профильного министерства или КНБ мы не нашли. Единственный официальный голос прозвучал от АО «Национальные информационные технологии», и то в ответ на запрос Digital Business: «Оснований для беспокойства пользователей в связи с данной ситуацией нет». Речь шла только о портале eGov.kz.

Мы решили проверить, как обстоят дела у остальных.

Пятнадцать из пятнадцати

Редакция прогнала через публичный сканер компании Imperva сайты 15 госорганов, нацхолдингов и квазигосударственных компаний. PHP нашёлся на всех. Это ещё не приговор: у 13 сайтов версия скрыта, и они вполне могли обновиться 21–22 октября. Но два ресурса раскрыли карты сами.

Сайт программы «Болашак» (bolashak.gov.kz), через которую государство с 1990-х отправляет молодёжь учиться за рубеж, в заголовках ответа сервера сообщает: PHP 7.4.33. Ту же версию показывает ortcom.kz — сайт Службы центральных коммуникаций при Президенте, где проходят брифинги госорганов.

Ветку 7.4 разработчики PHP перестали поддерживать в ноябре 2022 года. Официального релиза с исправлением PHP2Shell для неё нет. Защищён ли такой сервер, зависит от того, поставил ли администратор сборку стороннего поставщика с заплаткой. Снаружи этого не видно — ответить могут только владельцы.

Остальные 13 сайтов версию не показывают, зато выдают платформу:

Laravel — Национальный банк (nationalbank.kz), Электронная биржа труда (enbek.kz), «Казахтелеком» (telecom.kz), Национальная академия наук (qazscience.gov.kz) и KZ-CERT (cert.gov.kz).
Bitrix — Бюро национальной статистики (stat.gov.kz), ФНБ «Самрук-Казына» (sk.kz), НУХ «Байтерек» (baiterek.gov.kz), Банк развития Казахстана (kdb.kz) и Kazakh Invest (invest.gov.kz).
WordPress — Казахстанский институт стратегических исследований при Президенте (kisi.kz), Национальный центр тестирования (testcenter.kz) и АО «Национальный центр экспертизы и сертификации» (naceks.kz). КИСИ и Наццентр тестирования к тому же открыто показывают версию самого WordPress.

Отдельная ирония — в этом списке сам KZ-CERT. Служба, которая должна первой бить тревогу в казнете, тоже работает на PHP. Обновила ли она собственный сайт, по внешним признакам не определить.

Трещина в фундаменте

Представьте сайт как дом. WordPress, Bitrix или Laravel — стены и замки на дверях. PHP — фундамент. PHP2Shell — трещина именно в фундаменте, поэтому качество замков ничего не решает: атаки без авторизации уже продемонстрированы на WordPress, Drupal и Joomla.

Технически это две ошибки, CVE-2026-109618 и CVE-2026-109619, каждая на 9,2 балла из 10 по шкале CVSS. Обе связаны с памятью. Первая срабатывает, когда запросу не хватает памяти и PHP обрывает обработку на полпути. Вторая — когда служебные данные одного запроса переживают освобождение памяти и достаются следующему, объясняют CERT-EU и NCSC.

Итог один: атакующий выполняет на сервере свой код, а в отдельных сценариях может подсмотреть чужие пароли, токены и ключи API, предупреждает Qualys.

Дыре, вероятно, около 14 лет. По оценке Imperva, она затрагивает PHP начиная с версии 5.4, вышедшей в 2012 году. Нашли её исследователи Wiz, OpenAI и Calif.

Утечка, которая спутала все карты

Раскрытие готовили по правилам. Calif сообщила разработчикам о первой ошибке ещё в августе, выпуск исправлений согласовали с дистрибутивами на 22 октября. План сорвала утечка: идентификаторы уязвимостей разошлись по сети, и PHP выпустил заплатки на день раньше, рассказали в PHP Foundation.

Но кто-то, похоже, знал обо всём ещё раньше. Сервер-ловушка Amazon поймал первую попытку эксплуатации за четыре дня до публичного раскрытия. Сработала бы она против настоящего сайта, неясно.

11 августа. Calif сообщает разработчикам PHP о первой ошибке.
17 октября. Ловушка Amazon фиксирует первую атаку, со ссылкой на Reuters пишет Digital Business.
20 октября. Идентификаторы CVE утекают в сеть, CERT-EU выпускает бюллетень 2026-018 (SOCRadar).
21 октября. PHP выпускает исправления, госсайты Европы и Японии уходят в офлайн (SecurityWeek).
22 октября. Нидерландский NCSC изучает первые признаки успешных атак, гонконгский HKCERT сообщает об эксплуатации (Brandefense).

Исправления получили PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для 8.1 и более старых веток официальных релизов нет: команда PHP опубликовала лишь минимальные патчи исходного кода для 7.4–8.1, отмечает Tenable, а часть поставщиков, например cPanel, собрала свои версии. Временные настройки, признают сами разработчики, полной защиты не дают.

В каталог активно эксплуатируемых уязвимостей CISA обе CVE на 22 октября не внесены. Но Amazon уже называет эксплуатацию широкой.

Как мир гасил свет

Реакция государств больше походила на режим ЧС, чем на рутинное обновление. Регуляторы ставили сроки, требовали отчётов и не стеснялись отключать собственные сайты.

США. CISA призвало обновляться немедленно, начиная с систем, открытых в интернет. Кто не может обновиться или сидит на PHP 8.1 и старше — отключать PHP-системы до обновления.
Великобритания. NCSC велит найти все установки PHP, обновить их, применить временные меры, а если не выходит — рассмотреть отключение.
Евросоюз. CERT-EU вместе с Еврокомиссией, ENISA и Европолом предупредил, что PHP может незаметно работать внутри других продуктов — и найти его не так просто.
Нидерланды, Финляндия, Франция, Германия, Чехия, Япония. Часть госсайтов временно ушла в офлайн — от национальных порталов до сайтов префектур и налоговой, со ссылкой на Reuters сообщает Digital Business.
Гана. Агентства CSA и NITA дали госучреждениям семь дней на исправление с обязательным отчётом.
Беларусь. По распоряжению уполномоченного госоргана хостинг hoster.by закрыл виртуальный хостинг от зарубежного трафика, пока не поставил обновления. Ограничения сняли утром 22 октября.

Формальный подход тоже не остался незамеченным. Нигерийский национальный CERT ограничился постом в соцсети — без сроков и требований к госструктурам — и получил за это порцию критики от местной прессы.

Кто должен был забить тревогу

На бумаге за кибербезопасность госресурсов в Казахстане отвечают как минимум три структуры.

Министерство искусственного интеллекта и цифрового развития руководит сферой информационной безопасности в информатизации и «электронном правительстве». Его Комитет по информационной безопасности выполняет регулятивные и контрольные функции.
АО «Государственная техническая служба» ведёт Национальный координационный центр ИБ, в который входит KZ-CERT — единый центр реагирования для пользователей госсистем и казнета. Там же ведётся мониторинг безопасности объектов «электронного правительства».
КНБ, в ведение которого передали ГТС, в 2025 году получил ещё и госконтроль за безопасностью критически важных объектов информационно-коммуникационной инфраструктуры.

Заявлений министерства и КНБ о PHP2Shell редакция не нашла. Ответ НИТ касался только eGov.kz, а это лишь одна витрина из многих. О сайтах Нацбанка, нацхолдингов и самого KZ-CERT он не говорит ничего.

Ещё одна деталь для контекста: статус KZ-CERT в европейском реестре CERT-команд Trusted Introducer приостановлен с 5 октября 2023 года.

Вопросы, на которые ждём ответа

Редакция направляет публичный запрос в Министерство ИИ и цифрового развития, АО «ГТС» и владельцам перечисленных сайтов. Ответы опубликуем по мере поступления.

Получили ли владельцы госресурсов указание обновить PHP — и в какой срок, как в США, ЕС или Гане?
Сколько объектов «электронного правительства» работают на PHP и сколько из них уже обновлены до 8.2.35 и новее?
Почему bolashak.gov.kz и ortcom.kz раскрывают PHP 7.4.33? Стоят ли на них исправленные сборки поставщика?
Проверены ли госсайты на следы взлома начиная с 17 октября, когда зафиксировали первые атаки?
Почему KZ-CERT не выпустил предупреждение в день выхода исправлений, как CISA, NCSC и CERT-EU?

Что делать владельцам сайтов

Найти все установки PHP, включая встроенные в другие продукты и контейнеры, как советует CISA.
Обновиться до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 и перезапустить все процессы PHP.
На PHP 8.1 и старше — переходить на 8.2+ или ставить сборку поставщика с исправлением. Если нельзя — отключать систему от интернета до обновления, как рекомендуют CISA и NCSC.
До обновления, как неполную меру, отключить session.upload_progress, а в PHP 8.5 — fatal_error_backtraces (Notebookcheck).
Скрыть версию PHP из заголовков (expose_php = Off). Уязвимость это не закроет, но перестанет подсказывать цель.
Проверить серверы на следы взлома: обновление не удаляет то, что атакующий мог оставить до него.

Как мы проверяли

Сайты проверены публичным онлайн-сканером компании Imperva уже после выхода исправлений 21 октября. Сканер смотрит только на внешние признаки — заголовки ответа сервера, cookie и следы CMS. Никаких атак на сайты редакция не проводила.

«Версия неизвестна» значит лишь, что сайт её не показывает, а не что он уязвим. Заголовок X-Powered-By тоже не окончательное доказательство: сборки поставщиков с исправлениями сохраняют прежний номер версии, о чём предупреждает и сам сканер. Последнее слово — за владельцами ресурсов.

Прикреплённые файлы

Результаты сканирования.pdf

Продолжение темы

Polites News в Google Добавьте нас в избранные источники Добавить

Редакция участвует в сети «Все СМИ».