В России сайты критической инфраструктуры отключат при медленном обновлении PHP

Сайты критической инфраструктуры России будут временно отключаться, если их операторы не успевают быстро обновить PHP. Одна уязвимость в строке кода, написанного на устаревшей версии этого языка, способна парализовать работу энергоблока или диспетчерской службы. Именно поэтому регулятор перешел к жестким мерам.

Требование регулятора

Государственный центр кибербезопасности, действующий в структуре ФСБ, издал директиву о срочном обновлении языка программирования PHP на всех интернет-ресурсах, относимых к критической информационной инфраструктуре. Под действие требования подпадают веб-порталы энергетических компаний, транспортных операторов, операторов связи и государственных сервисов. Если технические специалисты не успевают выполнить обновление в сжатые сроки, ресурс предписывается временно отключить от сети до полного устранения уязвимостей. Цель таких мер - минимизировать поверхность атаки для злоумышленников.

Что означает отключение

Временное отключение влечет за собой недоступность сайта для пользователей и взаимодействующих с ним автоматизированных систем. На объектах диспетчерского управления это может потребовать перехода на ручные режимы работы, что замедляет процессы, но не останавливает их полностью. Регулятор считает такой краткосрочный сбой менее опасным, чем компрометация инфраструктуры через известные уязвимости в старых версиях PHP. Язык PHP широко применяется в веб-разработке, и его устаревшие релизы неоднократно использовались в реальных кибератаках.

Ранее операторы критической инфраструктуры самостоятельно выбирали момент для обновления программного обеспечения, руководствуясь внутренними регламентами и графиками технического обслуживания. Это позволяло совмещать работы с плановыми простоями и избегать неожиданных отключений. Теперь подход ужесточился: требования безопасности получили приоритет над удобством эксплуатации.