21 октября 2026 года вышли патчи PHP против PHP2Shell: две критические уязвимости, которые позволяют без авторизации выполнить код на сервере. Обновить PHP нужно в любом случае. Но если через уязвимость утекут персональные данные пользователей, компании грозит штраф до 15 млн руб. И в суде будут смотреть, есть ли документы о том, когда и как вы закрыли уязвимость. Ниже — технический чек-лист с юридическими пояснениями: что сделать, что сохранить и когда звать юриста.

Коротко об уязвимости

PHP2Shell — общее название двух уязвимостей в ядре интерпретатора PHP: CVE-2026-109618 и CVE-2026-109619. Обе получили 9,2 из 10 по CVSS 4.0 и позволяют удаленно выполнить произвольный код (RCE) без авторизации.

Исправления вышли в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Все, что ниже, уязвимо, и это касается WordPress, 1С-Битрикс, Drupal, OpenCart, Laravel и других проектов. Обновление CMS или фреймворка не помогает: проблема в самом интерпретаторе.

Эксплойт уже показали на WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS, и первые попытки атак уже есть. В бюллетене безопасности PHP есть настройки, которые закрывают часть сценариев атаки, но полностью закрывает уязвимость только обновление.

Чек-лист: что сделать и зачем это юристу

1. Найти, кто отвечает за сервер. ИТ-отдел, подрядчик по поддержке сайта или хостинг. Пока ответственный не назначен, обновление никто не сделает.

Зачем юристу: если сервер обслуживает подрядчик и не обновил PHP, перед пользователями и Роскомнадзором все равно отвечает компания-владелец данных (ч. 5 ст. 6 Закона № 152-ФЗ).

2. Обновить PHP до одной из исправленных версий или новее. Временные настройки из бюллетеня обновление не заменяют.

3. Перезапустить все, что держит PHP в памяти: PHP-FPM или веб-сервер, обработчики очередей, Apache с mod_php. Иначе старый уязвимый код продолжит работать.

4. Проверить версию командами php -v и php-fpm<ВЕРСИЯ> -v.

5. Сохранить результат. Дата обновления, вывод команд выше, кто обновлял, подтверждение от подрядчика, если обновлял он.

Зачем юристу: компанию признают виновной в утечке, если она могла принять меры, но не приняла (ч. 2 ст. 2.1 КоАП). Скриншот или лог с версией PHP и датой — самое простое доказательство того, что меры приняты. В судебной практике именно такие документы влияют на то, получит компания штраф или предупреждение.

6. Проверить сервер на признаки взлома: посторонние файлы, подозрительные записи в журналах, новые учетные записи. Если что-то нашли, сначала сохраните журналы и данные для расследования, потом меняйте пароли, ключи и токены.

7. Если обновиться сразу нельзя, ограничьте доступ к серверу из интернета и зафиксируйте это решение письменно — по той же причине, что и в пункте 5.

Нашли следы доступа к данным: часы уже идут

Сама по себе уязвимость не обязывает сообщать в Роскомнадзор. Обязанность появляется, когда установлена утечка — неправомерная или случайная передача персональных данных или доступ к ним, который нарушил права людей (ч. 3.1 ст. 21 Закона № 152-ФЗ). С этого момента у компании:

24 часа на первое уведомление в РКН: что произошло, вероятные причины, возможный вред, принятые меры, контакт ответственного; 72 часа на второе: результаты внутреннего расследования и сведения о виновных, если их установили.

Для разработчика и админа это значит, что сообщить юристу или руководству о следах доступа к данным нужно сразу, а не после того, как все будет починено. Срок считают с момента обнаружения. Если утечку первым заметит не сама компания, а, например, НКЦКИ при мониторинге сети, к штрафу за утечку добавится штраф за неуведомление.

Субъекты КИИ дополнительно уведомляют НКЦКИ по правилам Закона № 187-ФЗ, и сроки там короче.

Почему отвечает компания, даже если взломали снаружи

Почти любой сайт хранит имена, телефоны, email или адреса. Это делает компанию оператором персональных данных: она обязана защищать данные и контролировать, как работает защита (ст. 18.1 и 19 Закона № 152-ФЗ). Взлом посторонними от ответственности не освобождает.

Суды прямо связывают утечки с необновленным ПО:

1С-Битрикс и подрядчик. Сайт организации поддерживал подрядчик, который вовремя не поставил рекомендованные разработчиком исправления. Данные утекли через уязвимость в «1С-Битрикс: Управление сайтом». Штраф получила организация-оператор, заменить его предупреждением суд отказался: данные оставались в открытом доступе (постановление мирового судьи с/у № 422 Таганского района Москвы от 06.09.2023 по делу № 05-1003/422/2023).

Операторы связи. В 2026 году два оператора связи потеряли данные абонентов: злоумышленники вошли через сервер с ПО, в котором была критическая уязвимость. Суды указали, что компании использовали ПО с критическими уязвимостями и пренебрегали требованиями информационной безопасности. Вину установили, но наказание ограничили предупреждением (решения АС Кемеровской области от 28.04.2026 по делу № А27-23786/2025 и АС Иркутской области от 12.05.2026 по делу № А19-25808/2025).

Сколько стоит утечка

С 30 мая 2025 года за утечки персональных данных действуют отдельные штрафы по ст. 13.11 КоАП. Размер зависит от числа пострадавших или скомпрометированных идентификаторов, то есть уникальных записей о человеке. Штрафы для компаний:

• не уведомили РКН — 1–3 млн руб. (ч. 11);

• утечка 1–10 тыс. человек или 10–100 тыс. идентификаторов — 3–5 млн руб. (ч. 12);

• 10–100 тыс. человек или от 100 тыс. до 1 млн идентификаторов — 5–10 млн руб. (ч. 13);

• более 100 тыс. человек или более 1 млн идентификаторов — 10–15 млн руб. (ч. 14);

• специальные категории данных — 10–15 млн руб. (ч. 16);

• биометрические данные — 15–20 млн руб. (ч. 17);

• повторная утечка — 1–3% оборота, от 20 (25) до 500 млн руб. (ч. 15 и 18).

Утечку меньше тысячи человек суды квалифицируют как обработку данных без законных оснований (ч. 1 ст. 13.11 КоАП): 150–300 тыс. руб. для компании. Должностных лиц штрафуют отдельно, например за неуведомление РКН — на 400–800 тыс. руб.

Документы снижают и штраф за повторную утечку: он меньше, если компания может подтвердить, что соблюдала требования к защите данных в течение 12 месяцев до нарушения (примечание к ст. 13.11 КоАП).

Что проверить вместе с юристом

PHP2Shell — хороший повод проверить три вещи, о которых обычно вспоминают уже после инцидента.

Регламент реагирования на инциденты. Кто фиксирует инцидент, кто проводит расследование, кто подает уведомления в РКН. Если такого документа нет, отведенные законом 24 часа уйдут на выяснение, кто что должен делать.

Журнал обновлений и проверок защищенности. Закон требует не только защищать данные, но и контролировать защиту (ч. 2 ст. 19 Закона № 152-ФЗ). Журнал обновлений ПО — самый простой способ это показать.

Договоры с подрядчиками и хостингом. Кто обязан обновлять системное ПО, за какой срок нужно реагировать на критические уязвимости, как подрядчик сообщает об инцидентах. Если у подрядчика есть доступ к персональным данным, нужно поручение на обработку с требованиями к защите (ч. 3 ст. 6 Закона № 152-ФЗ).

Итог

Обновите PHP, перезапустите сервисы и сохраните вывод php -v с датой. Проверьте сервер на следы взлома. Если нашли доступ к персональным данным, сразу сообщите юристу: на уведомление РКН есть 24 часа. Необновленное ПО с известной уязвимостью суды считают непринятой мерой защиты, а за подрядчика отвечает владелец данных.

Источники

• Бюллетень безопасности PHP от 21.10.2026

• CVE-2026-109618 и CVE-2026-109619 в NVD

• Help Net Security: PHP2Shell patched

• Постановление мирового судьи с/у № 422 Таганского района Москвы от 06.09.2023 № 05-1003/422/2023

• Решение АС Кемеровской области от 28.04.2026 по делу № А27-23786/2025

• Решение АС Иркутской области от 12.05.2026 по делу № А19-25808/2025

• Федеральный закон № 152-ФЗ «О персональных данных», ст. 6, 18.1, 19, 21

• КоАП РФ, ст. 2.1, 13.11