21 октября 2026 года в ядре языка PHP обнаружили две критические RCE-уязвимости с наивысшим рейтингом опасности CVSS 9.2, позволяющие удаленно выполнять произвольный код на сервере без авторизации. В Европе госсервисы уже временно приостанавливали работу. Но главная драма для российского бизнеса разворачивается не в коде, а в договорах: миллионы корпоративных сайтов и интернет-магазинов на «1С-Битрикс» и WordPress остались без защиты, а отвечать за утечки данных перед регулятором придется генеральному директору.

Уязвимость типа Remote Code Execution (RCE) позволяет злоумышленнику отправлять специально сформированные запросы к веб-серверу и исполнять произвольные команды в операционной системе. Для атаки не требуется логин или пароль администратора. В результате хакеры получают полный доступ к базе данных, файловой системе и персональным данным клиентов.

Разработчики языка PHP выпустили исправления исключительно для поддерживаемых веток — PHP 8.2, 8.3, 8.4 и 8.5. Более старые версии, включая крайне популярную PHP 7.4, официально объявлены End-of-Life (EOL) и больше не получают обновлений безопасности от сообщества. Сайты на уязвимых версиях PHP остаются полностью открытыми для атак.

По данным аналитических сервисов W3Techs, свыше 35% всех веб-ресурсов в интернете продолжают работать на ветке PHP 7.x. В российском сегменте ситуация осложняется тем, что многие устаревшие сборки «1С-Битрикс» и самописные модули несовместимы с PHP 8.x без проведения дорогостоящего рефакторинга кода.

Подрядчики по технической поддержке часто избегают обновления среды окружения, чтобы не спровоцировать сбои в работе действующего бизнеса. Переход на новую версию PHP может «сломать» оформление заказов или интеграцию с CRM, поэтому веб-студии предпочитают игнорировать устаревание стек-технологий до наступления критического инцидента.

Обновление версии PHP с 7.4 до 8.2 требует переработки кастомных функций, устаревших библиотек и сторонних плагинов. Подрядчик не хочет закладывать эти трудозатраты в стандартный абонентский чек, а заказчик отказывается согласовывать отдельную смету на комплексный рефакторинг, пока сайт визуально функционирует без ошибок.

Оплата ежемесячного счета за «поддержку и сопровождение сайта» создает у руководства компании ложное чувство защищенности. В реальности базовый регламент поддержки включает только мониторинг доступности, создание резервных копий и мелкие контентные правки, но не содержит обязательств по патчингу уязвимостей нулевого дня на уровне сервера.

Согласно статье 19 Федерального закона 152-ФЗ «О персональных данных», обязанность по обеспечению безопасности персональных данных при их обработке лежит исключительно на операторе — юридическом лице. Наличие договора с IT-компанией или веб-студией не снимает с организации статус оператора и публично-правовую ответственность перед государством.

Утечка базы данных клиентов в результате взлома сайта квалифицируется по статье 13.11 КоАП РФ. Взыскания за неправомерную обработку или компрометацию данных достигают существенных сумм, а законодательные инициативы вводят оборотные штрафы от 1% до 3% от годовой выручки компании, плюс персональную административную ответственность директора.

Регуляторы и суды исходят из того, что эксплуатация ПО с истекшим сроком поддержки (End-of-Life) является проявлением грубой неосторожности со стороны оператора данных. Компания осознанно принимает на себя риски использования небезопасного софта, поэтому ссылки на противоправные действия внешних хакеров не освобождают от ответственности.

На основании статьи 702 ГК РФ и статьи 401 ГК РФ подрядчик отвечает только за надлежащее выполнение предусмотренных договором работ. Если в предмете договора технической поддержки не зафиксирована обязанность по обновлению серверного ПО и аудиту уязвимостей, переложить убытки или штрафы Роскомнадзора на IT-исполнителя в порядке регресса будет невозможно.