Нигерийская команда реагирования на компьютерные чрезвычайные ситуации (ngCERT), официальный государственный орган кибербезопасности страны, встретила крупнейший со времён Log4Shell кризис веб-серверов — уязвимость 2021 года в вездесущей библиотеке логирования Java Log4j, вынудившую весь интернет проводить экстренное патчирование, — кратким постом «Patch Now!» в X. 21 октября 2026 года, когда группы экстренного реагирования от Вашингтона до Токио отключали уязвимые государственные системы, рекомендация агентства резко контрастировала с масштабами уязвимости, угрожающей, по оценкам, примерно 70% сайтов мира.

Пост, опубликованный по адресу https://x.com/ngCERTofficial/status/2112987792917840001?s=20, гласит: «PHP2SHELL ALERT! Two critical RCE flaws (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2) affect every web server running PHP 5.4+. Both vulnerabilities are exploitable on the default PHP configuration & do not require authentication to trigger. Patch Now!»

Помимо призыва установить исправления, рекомендация не содержала ни технического бюллетеня, ни инструкций по устранению, ни мер принудительного исполнения в министерствах, ведомствах и агентствах (MDA) — реакция, которую критики описывают как показное формальное действие, а не управление кибербезопасностью.

В центре этой истории — две критические уязвимости удалённого исполнения кода в ядре среды выполнения PHP, отслеживаемые как CVE-2026-109618 и CVE-2026-109619 и получившие широкую известность как «PHP2Shell». Обе имеют оценку критичности 9.2 по CVSS v4.0 и затрагивают все версии PHP с 5.4, вышедшей в 2012 году, до 8.5.11. Поскольку дефекты находятся в процедурах очистки памяти и обработки ошибок PHP, неаутентифицированный злоумышленник может захватить подключённый к интернету сервер с конфигурацией по умолчанию ещё до того, как загрузятся код приложения сайта или плагины безопасности. Именно это расположение в общей среде выполнения отличает PHP2Shell от обычных уязвимостей плагинов и тем: каждый сайт, размещённый на уязвимом сервере, наследует риск независимо от того, насколько аккуратно написан его собственный код.

PHP2Shell не возник в вакууме. Он стал финалом беспощадного октября, наполненного глобальными взломами, которые показали, как быстро стороннее ПО и устаревшая инфраструктура могут обернуться против своих владельцев. Ранее в этомце исследователи из Wiz и Calif продемонстрировали, что передовые модели ИИ способны сжимать месяцы ручного реверс-инжиниринга, превращая десятилетние ошибки в памяти PHP в оружие против стандартных конфигураций WordPress, Drupal и Joomla. Когда 20 октября досрочно утёк запрет на раскрытие информации, злоумышленники немедленно начали сканировать миллионы серверов по всему миру, что вынудило PHP Foundation спешно выпустить экстренные исправления 21 октября, а премьер-министра Японии — публично призвать организации обновиться или отключить свои сайты. Позднее выяснилось, что эксплуатация началась ещё 17 октября, за несколько дней до утечки.

Эта суматоха совпала с тремя другими глобальными потрясениями октября 2026 года. В Японии атака ransomware на облачного провайдера IDC Frontier парализовала 495 компаний и местных органов власти, раскрыв 6,09 миллиона клиентских записей только у железнодорожного оператора JR East. Отдельно специалисты Huntress обнаружили компрометацию цепочки поставок с участием учётных данных SkyKick Cloud Backup компании ConnectWise, позволившую злоумышленникам обойти многофакторную аутентификацию сотрудников и проникнуть в 162 корпоративные среды Microsoft 365. Во Франции 11 и 12 октября злоумышленники захватили операционные технологии, управлявшие системами охлаждения в сотнях супермаркетов, подняв температуру до 50°C и заставив ритейлеров выбросить тонны испорченных продуктов.

Скорость раскрытий PHP2Shell также вынудила провести масштабные аварийные отключения в мировом транспортном и государственном секторах, что привело к критическим приостановкам работы авиации, банков и железнодорожных сетей от Токио до Хельсинки. В Великобритании по мере развития кризиса Национальный центр кибербезопасности (NCSC) выпустил срочные предупреждения, а власти приняли упреждающие меры, временно отключившие 32 государственных сервиса и частично ограничившие ещё четыре, пока устанавливались экстренные исправления и меры защиты.

Ближе к региону: южноафриканская Ampath Laboratories подверглась атаке группы BytetoBreach, которая заявила о выгрузке 80 миллионов записей о пациентах.

На этом глобальном фоне контраст между позицией Нигерии и её региональных соседей особенно очевиден. По данным Национального агентства развития информационных технологий (NITDA), Нигерия уже ежегодно теряет не менее 500 миллионов долларов из-за киберпреступности, а государственные порталы, включая порталы Комиссии по корпоративным делам и Независимой национальной избирательной комиссии (INEC), неоднократно сталкивались с публичными обвинениями в утечках данных. Тем не менее ngCERT воспринял актуальную угрозу неаутентифицированного захвата серверов как рядовое сообщение по связям с общественностью. Пост в соцсетях не имеет никакой юридической силы: он не устанавливает сроков для ИТ-директоров федерального или регионального уровня, не предлагает компенсирующих правил конфигурации для устаревших серверов и не требует отчётности от местных хостинг-компаний, обслуживающих тысячи нигерийских малых и средних предприятий.

Кения повела себя иначе. 21 октября Государственный департамент по ИКТ и цифровой экономике совместно с Управлением по ИКТ издал формальную обязательную директиву для всех государственных органов. Найроби не просто попросил ведомства установить исправления: он приказал MDA провести аудит сторонних облачных и размещённых приложений, ограничить внешний доступ или немедленно отключить порталы, которые невозможно пропатчить, и задокументировать каждое корректирующее действие для проверки Управлением по ИКТ.

Гана продемонстрировала ту же серьёзность, установив строгий срок соблюдения требований. 22 октября Управление кибербезопасности (CSA) и Национальное агентство информационных технологий (NITA) совместно поручили всем государственным учреждениям провести инвентаризацию развертываний PHP, применить экстренные обновления и представить официальные отчёты об устранении в течение семи дней. Южная Африка, нап, тоже споткнулась, не выпустив заметной общенациональной директивы CERT, несмотря на тысячи открытых локальных серверов. Кения и Гана показали, что эффективная кибероборона требует обеспеченных санкциями сроков и контроля за поставщиками, а не лозунгов в соцсетях. Следующие контрольные точки очевидны: последует ли ngCERT за своим единственным постом в X техническим бюллетенем с обеспеченными санкциями сроками, и что покажут семидневные отчёты Ганы о подверженности PHP в государственных учреждениях.

Когда регулирование отстаёт, бремя выживания ложится на локальные инженерные команды и обычных пользователей. Опираясь на технические рекомендации PHP Group, Qualys, Armis и Google Cloud, вот что нигерийским компаниям и гражданам следует сделать немедленно:

Для бизнеса и системных администраторов

• Немедленно обновите поддерживаемые среды выполнения: обновите все среды PHP 8.2+ до исправленных релизов (8.5.12, 8.4.27, 8.3.36 или 8.2.35) и перезапустите службу PHP-FPM или Apache, чтобы новые бинарные файлы вступили в силу в памяти.
• Закройте слепую зону устаревших версий: официальные исправления не покрывают PHP 8.1, 8.0 или 7.x, которые достигли конца жизненного цикла. Компаниям, застрявшим на устаревшем хостинге cPanel, необходимо либо немедленно перейти на PHP 8.2+, либо переключиться на защищённые бэкпорты дистрибутивов Linux и контейнерные образы. Обновление одних лишь тем или плагинов WordPress не остановит эту эксплойт-атаку.
• Примените меры на уровне конфигурации: там, где немедленное патчирование невозможно, Qualys и Armis рекомендуют отключить встроенный в PHP трекер прогресса загрузки, что устраняет основной путь эксплойта без нарушения работы сайта, а также ввести строгие ограничения на размер тела запроса и правила загрузки файлов в межсетевых экранах уровня приложений (WAF), таких как Cloudflare или Google Cloud Armour.
• Проверьте журналы серверов и API-ключи: поскольку эксплуатация началась ещё 17 октября, командам необходимо изучить журналы веб-серверов на предмет аномальных сбоев из-за нехватки памяти и ротировать учётные данные баз данных и ключи платёжных шлюзов (таких как вебхуки Paystack, Flutterwave или Monnify), хранящиеся на доступных из интернета PHP-серверах.

Для частных лиц и обычных пользователей

Скомпрометированный портал электронной коммерции или государственный портал с непропатченным PHP позволяет злоумышленникам перехватывать пароли в открытом виде по мере их ввода. Никогда не используйте пароль от вашей почты или банковского приложения на локальных сайтах покупок, школьных порталах или государственных реестрах.

Поскольку захват веб-сервера позволяет злоумышленникам незаметно подменять страницы оформления заказа, избегайте сохранения данных основной дебетовой карты на сайтах небольших продавцов. Используйте одноразовые виртуальные карты или опции перевода при оплате с жёсткими дневными лимитами расходов.

Когда злоумышленники захватывают легитимный корпоративный или государственный веб-сервер, они получают возможность рассылать фишинговые письма с подлинных доменных имён. Проверяйте любой срочный запрос на оплату, налоговое уведомление или запрос на обновление BVN/NIN по независимому каналу, прежде чем переходить по ссылкам.

Читайте также: Секретное соглашение Нигерии с Meta демонстрирует режим защиты данных с вопиющим двойным стандартом

Кибербезопасность в эпоху ИИ не оставляет места пассивной бюрократии. Пока Абуджа не заменит показные формальные действия обязательствами по аудиту и соблюдению требований во всей государственной и частной инфраструктуре, нигерийским компаниям и гражданам придётся самим становиться первыми спасателями.