Сериозен пробив в сигурността на един от най-широко използваните езици за програмиране в света постави под заплаха огромен брой интернет сайтове, включително на държавни институции. Българските власти трябва незабавно да проверят дали системите на държавната администрация са защитени, предупреди депутатът от „Демократична България“ и съпредседател на „Да, България“ Божидар Божанов, бивш министър на електронното управление.

„Вчера буквално 70% от интернет страниците в света се оказаха уязвими по най-лошия възможен начин: с възможност всеки да изпълни произволен код на сървъра ти и то без да е налично обновление, с което да се затвори дупката“, написа Божанов във Фейсбук.

Става дума за две критични уязвимости в програмния език PHP, известни като PHP2Shell и регистрирани под идентификаторите CVE-2026-109618 и CVE-2026-109619.

Според експертите те позволяват на нападатели дистанционно да изпълняват злонамерен код на засегнатите сървъри, без дори да е необходимо да разполагат с потребителско име и парола. Това може да доведе до пълно превземане на сайтове, кражба на чувствителна информация и използване на компрометираната инфраструктура за нови кибератаки.

Уязвимостите са оценени с 9,2 от 10 точки по международната скала за тежест на пробивите в сигурността.

Десетки държавни сървъри в България са потенциално застрашени

Божанов посочва, че PHP се използва от между 65 и 70 на сто от интернет страниците по света, основно заради популярната система за управление на съдържание WordPress.

Това обаче не означава непременно, че всички тези сайтове са уязвими – рискът зависи от използваните версии на PHP и от това дали са инсталирани необходимите актуализации.

„Следобед се появи извънредна "кръпка", която системни администратори по цял свят прилагат в последните часове“, съобщава депутатът.

Той обръща специално внимание на липсата на публична реакция от българските власти.

„На този фон правителствения екип за реагиране на инциденти (CERT) не е публикувал нищо на страницата си.

Бърза проверка показва, че има поне няколко десетки сървъри в държавните мрежи, които ползват PHP. Вероятно ако добавим общинските сайтове, бройката ще скочи още.“

Божанов настоява националният координатор по киберсигурност да гарантира, че всички засегнати сървъри са актуализирани, и още днес да обяви мащаба на потенциално уязвимите системи в държавната администрация.

„В противен случай съществува голям риск от пробив и изтичане на данни. В среда на хибридни атаки срещу България, този риск е напълно реален и не бива нещата да бъдат оставяни на случайността“, предупреждава той.

Европейски държави спират правителствени сайтове

Междувременно опасността предизвика извънредни мерки в редица европейски страни.

В Нидерландия временно бяха спрени сайтове на държавни институции, включително на националната агенция за киберсигурност. Сред засегнатите са и сайтовете на Националния институт за обществено здраве и долната камара на парламента.

Подобни предпазни мерки бяха предприети и във Финландия и Белгия, където временно беше ограничен достъпът до определени държавни онлайн услуги.

Спирането на сайтовете не означава, че те са били атакувани успешно. Целта е да се предотврати евентуален пробив, докато бъдат инсталирани поправките.

На 21 октомври Европейската комисия, Агенцията на ЕС за киберсигурност (ENISA), Европол и европейските екипи за реагиране при компютърни инциденти излязоха със съвместно предупреждение.

Те призоваха организациите незабавно да установят кои от системите им използват PHP и да приложат актуализациите. Когато това не е възможно, препоръката е уязвимите приложения временно да бъдат изолирани от публичните мрежи.

Хакери са опитали атака още преди проблемът да стане публично известен

Още по-тревожни данни бяха разпространени днес, 22 октомври, от звеното за киберразузнаване на Amazon.

Компанията е установила опит за използване на уязвимостите още на 17 октомври – четири дни преди официалното им публично оповестяване.

Опитът е засечен от системата MadPot, която наблюдава подозрителна активност чрез специално създадени примамки за хакери.

Според Amazon атаката е дошла от IP адрес, свързан с услуга за анонимизиране. Това поражда съмнения, че неизвестен извършител е разполагал предварително с информация за пробива.

След публичното разкриване на уязвимостите започнаха да се появяват и инструменти за тяхното използване при атаки. Експерти предупредиха, че опасността от масово компрометиране на неактуализирани сървъри е особено висока.

Поправките вече са налични

Разработчиците на PHP пуснаха извънредни актуализации на 21 октомври, които отстраняват двете критични уязвимости.

Британската здравна служба NHS England съобщи, че експерти вече са демонстрирали успешно използване на пропуските в популярни системи като WordPress, Drupal и Joomla.

Проблемът засяга не само сайтовете, които видимо използват PHP, но и софтуерни продукти, в които този език е интегриран.

Експертите подчертават, че инсталирането на актуализациите е единственото пълно решение на проблема. За системите, които не могат да бъдат обновени незабавно, се препоръчва временно ограничаване на достъпа от интернет.

Засега няма потвърдени публични данни за успешно компрометирани сайтове на български държавни институции вследствие на конкретните уязвимости. Предупреждението на Божанов обаче поставя въпроса дали администрацията е предприела необходимите превантивни мерки и дали обществото ще бъде информирано за тях.

------

Този материал е написан с помощта на изкуствен интелект под контрола и редакцията на поне двама журналисти от Клуб Z.