23 октября 2026 года через ГосСОПКУ поступила директива ФСБ для субъектов критической информационной инфраструктуры (КИИ). В случае невозможности оперативного устранения критических уязвимостей в PHP (с оценкой CVSS 9.0 и выше) ведомствам предписано отключать серверы. Проблема связана с глубокими дефектами в интерпретаторе, которые невозможно исправить простым обновлением плагинов. Данная мера направлена на предотвращение атак, пока разработчики готовят патчи для версий 8.2–8.5. Ситуация вынуждает организации пересматривать подходы к поддержке устаревшего программного обеспечения для обеспечения безопасности.