С 21:50 21 октября 2026 года хостинг-провайдер ActiveCloud ограничил доступ к сайтам на своей услуге «Web-хостинг в Республике Беларусь» для пользователей за пределами национального сегмента интернета. Компания объясняет это защитой от атак через две критические уязвимости PHP, исправления к которым вышли в тот же день. Разбираем, что известно, чем это грозит сайту в поиске и что сделать прямо сейчас.
Обновление 22 октября. Ограничение касалось не только ActiveCloud. В письме клиентам в ночь на 22 октября hoster.by сообщил, что по распоряжению того же госоргана доступ входящего трафика из-за пределов Беларуси ограничивают белорусские хостинг-провайдеры. Сайты при этом продолжали работать, а трафик из доверенных сетей крупных поисковых ботов, Яндекса, Google и других, hoster.by сохранял.
Днём 22 октября hoster.by сообщил, что исправления уязвимостей установлены на всех серверах виртуального и защищённого виртуального хостинга, ограничения на входящий внешний трафик сняты и сервисы работают в штатном режиме. ActiveCloud вечером 22 октября сообщил, что установил исправления на серверах Web-хостинга в Беларуси. О снятии ограничения доступа в этом сообщении не сказано, как и о том, сохранялся ли доступ для поисковых роботов.
Что сообщил ActiveCloud
Вечером 21 октября ActiveCloud опубликовал уведомление для клиентов. С 21:50 по минскому времени доступ к ресурсам на серверах услуги «Web-хостинг в Республике Беларусь» ограничен для пользователей за пределами национального сегмента сети Интернет.
По тексту уведомления, ограничение введено по распоряжению уполномоченного государственного органа, который координирует кибербезопасность в Беларуси.
Цель — предотвратить кибератаки через уязвимости CVE-2026-109618 и CVE-2026-109619. Действовать ограничение будет до отдельного распоряжения того же органа, конкретной даты нет.
Уведомление ActiveCloud касается одной его услуги. Как выяснилось на следующий день, ограничения вводили и другие белорусские хостинги, подробности в обновлении в начале новости.
Что за уязвимости
Обе уязвимости находятся в самом ядре PHP, на котором работают WordPress, Joomla, Drupal, Magento и большинство сайтов на обычном хостинге. По сообщению проекта PHP, они позволяют без авторизации удалённо выполнить код на сервере. Оценка опасности — 9,2 из 10 по CVSS 4.0, больше всего рискуют серверы с mod_php.
- Исправленные версии. 21 октября вышли PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
- Старые версии. PHP 8.1 и старше проект больше не поддерживает. Для 7.4, 8.0 и 8.1 опубликованы лишь минимальные исправления в исходном коде, рассчитывать стоит на обновление до 8.2 и новее.
- Атаки уже идут. Cloudflare в своём блоге пишет, что видел попытки атак на клиентов ещё до официального выпуска исправлений. Исследователи назвали уязвимости php2shell.
Европейская комиссия, ENISA, CERT-EU и Europol в совместном заявлении советуют ставить обновления в первую очередь на доступные из интернета системы. Если исправить сразу нельзя, они рекомендуют изолировать уязвимые приложения от публичных сетей.
Обновление WordPress и плагинов эти уязвимости не закрывает. Они в самом PHP на сервере, и обновлять его должен тот, кто управляет сервером.
Чем это грозит сайту
Ограничение доступа не означает, что сайт взломан. Но у него есть понятные последствия.
- Google. По документации Google, IP-адреса Googlebot по умолчанию находятся в США. Если сайт закрыт для зарубежных адресов, робот может не получить страницы. Чем дольше сайт недоступен для робота, тем выше риск для сканирования и индекса.
- Другие роботы. То же касается любых сервисов, которые обращаются к сайту из-за рубежа: проверки доступности, превью ссылок в соцсетях, внешние интеграции.
- Посетители и заявки. Клиенты из России, ЕС и других стран сайт не откроют, а в Беларуси он продолжит работать. По одной проверке из Минска проблему не увидеть.
- Реклама. Кампании, нацеленные на зарубежную аудиторию, будут вести на страницу, которую она не откроет.
Наш комментарий
В этой истории две задачи, и путать их нельзя. Ограничение доступа решает провайдер, и от владельца сайта тут мало что зависит.
А вот версия PHP — вопрос, который нужно закрыть в любом случае, на любом хостинге и в любой стране.
Не стоит в спешке переносить сайт на другой хостинг или менять DNS. Переезд за один вечер без проверки создаёт больше проблем, чем решает, а уязвимый PHP переедет вместе с сайтом.
Что сделать прямо сейчас
- Узнать, где сайт. Провайдер, услуга и страна сервера. Уведомление касается только «Web-хостинга в Республике Беларусь» у ActiveCloud.
- Проверить версию PHP. В панели хостинга или у разработчика. Нужна 8.2.35, 8.3.36, 8.4.27, 8.5.12 или новее.
- Написать хостеру, установлены ли исправления PHP и распространяется ли ограничение на поисковых роботов.
- Проверить доступность из разных стран, а не только из Беларуси.
- Следить за ошибками сканирования в Search Console в ближайшие дни.
- Пересмотреть зарубежную рекламу, если сайт для её аудитории недоступен.
- Перед обновлением PHP сделать резервную копию и проверить совместимость темы и плагинов.
С чего начать
Откройте панель хостинга и посмотрите версию PHP. Если она ниже исправленной, напишите хостеру сегодня же. Об уязвимостях в популярных плагинах мы писали в новости про All in One SEO, а об обновлении ядра в новости про WordPress 7.1.3. Проверить, доступен ли сайт поисковым роботам и что ещё в нём уязвимо, помогает технический аудит сайта. Мы обновим новость, когда ActiveCloud сообщит о снятии ограничений.
Подпишитесь на SEO-новости
Каждая новость с сайта сразу выходит в нашем Telegram-канале и на странице в Facebook. Выберите, где вам удобнее читать.
