PHP2Shell: сайт выключили на обновление, кто платит и как провести

Если у вас сайт на Битриксе, SaaS на Laravel или просто старая админка на PHP 7.4, со вторника у вас новая строка в списке дел, и она не про код. 21 октября проект PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, которые закрывают две критические уязвимости с удалённым выполнением кода без авторизации, а 22 октября НКЦКИ разослал требование устранить их срочно или отключить уязвимые серверы от интернета. Хостеры уже режут функции, часть сервисов ушла в офлайн «на техобслуживание». Разработчики разберутся с патчами. Вам как владельцу остаётся три вопроса, на которые СМИ не отвечают: что делать с клиентами, которым вы выключили сервис, как списать срочную миграцию со старой ветки PHP и кто платит за обновление сайтов, которые вы держите на поддержке.

Что случилось, в трёх абзацах

Уязвимости CVE-2026-109618 и CVE-2026-109619 получили общее имя PHP2Shell и оценку 9,2 по CVSS. Суть: при определённых запросах интерпретатор обрабатывает «мусорные» данные как настоящие, и злоумышленник выполняет свой код ещё до того, как запустится ваше приложение. Наибольший риск проект PHP видит для mod_php, но уязвимы все установки, обслуживающие веб-запросы: PHP-FPM, php-cgi, FrankenPHP, LiteSpeed.

Исправления есть только для веток 8.2–8.5. Для 8.1 и старше проект обновлений не выпускает. Команда безопасности подготовила минимальные бэкпорты в исходниках для 7.4, 8.0 и 8.1, а сопровождающий пакетов Ондржей Сури собрал обновления для двенадцати веток, включая 5.6. Это костыли на неделю, а не решение: сайт на PHP 7.4 всё равно придётся переносить.

Реакция рынка показывает масштаб. Cloudflare, по данным Reuters, которые приводит РБК, насчитал рост попыток эксплуатации с тысяч до миллионов. В Нидерландах отключили государственные сервисы DigiD и MijnOverheid, финский госоператор Valtori предупредил, что восстановление займёт дни или недели. У нас Рег.ру временно закрыл загрузку файлов через панель управления (клиенты получали 403 и жаловались на сломанные синхронизации с каталогами), а 1С-Битрикс напомнил, что «PHP обновляется на уровне сервера, отдельно от обновлений продукта через SiteUpdate», и отдельно отметил, что настройка session.upload_progress.enabled = 0 защиту не заменяет.

Три роли и три разных набора проблем

В IT-компании инцидент выглядит по-разному в зависимости от того, кто вы в этой истории.

Разберём по очереди.

Выключили сервис сами: компенсация клиентам

НКЦКИ советует «рассмотреть ограничение внешнего доступа к уязвимым серверам вплоть до их полного отключения». Для коммерческой компании это рекомендация, а не предписание, и клиенты, у которых ваш сервис лёг на сутки, прочитают в договоре не письмо регулятора, а раздел про SLA.

Первое, что приходит в голову, — форс-мажор. Не сработает. Непреодолимая сила по п. 3 ст. 401 ГК РФ — чрезвычайное и непредотвратимое обстоятельство. Уязвимость в стороннем коде и необходимость обновляться суды относят к обычному предпринимательскому риску, а решение выключить сервис принимали вы. Как считать компенсацию за простой, когда виноват провайдер, мы разбирали на примере SLA Yandex Cloud после отключения ЦОД: там логика та же, только в роли провайдера теперь вы.

Второе — договор. Если в SLA есть пункт об экстренных работах по безопасности с уведомлением за час, вы в своём праве и ничего не должны. Если такого пункта нет, считайте по формуле SLA и выбирайте форму компенсации. Форм две, и у них разные налоги.

Неустойка (штраф за простой). НДС не облагается: постановление Президиума ВАС от 05.02.2008 № 11144/07, с которым Минфин согласился в письме от 04.03.2013 № 03-07-15/6333, и с тех пор позицию не менял. У вас это внереализационный расход (пп. 13 п. 1 ст. 265 НК РФ) на дату признания или решения суда, у клиента — внереализационный доход. На УСН «Доходы минус расходы» неустойка контрагенту с 2026 года учитывается через открытый перечень (пп. 45 п. 1 ст. 346.16 НК РФ), подробнее в статье про открытый перечень расходов на упрощёнке.

Скидка на следующий период. Это уменьшение цены услуги, а не санкция. На ОСНО выставляете корректировочный счёт-фактуру (п. 3 ст. 168 НК РФ) и принимаете разницу НДС к вычету (п. 13 ст. 171 НК РФ), выручка уменьшается. У клиента уменьшаются расход и вычет. На УСН просто меньше дохода в следующем месяце.

Пример. У вас 40 клиентов по 30 000 ₽ в месяц, SLA обещает 10% месячной платы за сутки простоя. Компенсация — 120 000 ₽.

Для аккредитованной IT-компании с реестровым продуктом, у которой реализация прав на ПО освобождена от НДС по пп. 26 п. 2 ст. 149 НК РФ, колонка с НДС пустая в обеих строках, и выбор сводится к удобству документооборота. Скидка обычно проще: не нужно отдельного платежа и переписки о «признании». Неустойка честнее, когда клиент уже написал претензию.

Ошибка, которая встречается чаще всего: компенсацию дали «на словах» в чате поддержки, бухгалтер узнал о ней из уменьшенного счёта через месяц. Корректировочный счёт-фактура задним числом по закрытому периоду превращается в уточнённую декларацию по НДС, которой можно было избежать одним письмом.

Продукт на старой ветке: миграция и её учёт

Здесь денег больше всего. Если ваш продукт живёт на PHP 7.4 или 8.0, бэкпорт от сопровождающего дистрибутива даёт неделю передышки, а дальше нужна миграция на 8.2+. Для кода, который писали пять лет без обновления интерпретатора, это не «поменять версию», а переписать устаревшие конструкции, прогнать тесты и перепроверить интеграции. Подрядчик оценивает такую работу в недели, а не в часы.

Учёт зависит от одного вопроса: числится ли программа у вас как нематериальный актив.

Программа учтена как НМА. Миграция с переписыванием кода — улучшение актива. В бухучёте затраты собираются как капитальные вложения (пп. «м» п. 5 ФСБУ 26/2020) и после завершения увеличивают первоначальную стоимость (п. 18 ФСБУ 26/2020, п. 28 ФСБУ 14/2022). Заодно пересматриваете срок полезного использования: продукт на поддерживаемой ветке проживёт дольше. Амортизация по новым параметрам идёт с первого числа месяца после завершения работ. В налоге на прибыль с 31 августа 2023 года затраты на модернизацию НМА увеличивают первоначальную стоимость (п. 2 ст. 257 НК РФ, изменения внесены законом № 389-ФЗ) и списываются через амортизацию, единовременно их не признать. На УСН «Доходы минус расходы» модернизация НМА названа прямо в пп. 2 п. 1 ст. 346.16 НК РФ: расход принимается после оплаты и завершения работ равными долями по оставшимся кварталам года (п. 3 ст. 346.16 НК РФ).

Программа на балансе не числится. Так бывает у большинства студий и небольших SaaS: разработку в своё время списали как зарплату и услуги подрядчиков, актива нет. Тогда и улучшать нечего. Работы подрядчика по миграции — услуги производственного характера, расход периода по акту (пп. 6 п. 1 ст. 254 НК РФ для ОСНО, пп. 5 п. 1 ст. 346.16 для УСН). Зарплата своих разработчиков за эти недели — обычные расходы на оплату труда.

Считаем на миграции за 600 000 ₽ у компании с продуктом-НМА на ОСНО, ставка налога на прибыль 5%, оставшийся срок полезного использования после пересмотра 5 лет.

Разница в первой строке выглядит обидной, но менять квалификацию ради 29 000 ₽ налога не стоит: если программа стоит на балансе и вы «забыли» увеличить её стоимость, при проверке инспекция снимет расход целиком, а не перенесёт его. Для компании с продуктом в реестре Минцифры есть и второе соображение: версия интерпретатора на реестровую запись не влияет, но актуальность продукта спрашивают при подтверждении, и затраты на миграцию — хороший аргумент.

Отдельная строка в этой же истории: лицензия 1С-Битрикс. Обновления продукта доступны только при действующем периоде, а продление при просрочке больше месяца стоит 60% цены редакции. Это расходы на обновление программы: пп. 26 п. 1 ст. 264 НК РФ на ОСНО, пп. 19 п. 1 ст. 346.16 на УСН, списываются равномерно по сроку лицензии или единовременно, если срок в договоре не указан, по вашей учётной политике.

Студия с сайтами клиентов: чей это счёт

Самая конфликтная ситуация. У студии 30 сайтов на поддержке, у половины PHP 7.4, у трёх просрочен Битрикс. Разработчики за два дня всё обновили, а потом возникает вопрос, кому это выставлять.

Ответ лежит в предмете договора, и обычно он сформулирован расплывчато. Если в абонентке написано «обновление CMS и серверного окружения», обновление PHP входит в неё, и дополнительный счёт клиент оплатит только из вежливости. Если предмет — «консультации и исправление ошибок», обновление окружения — отдельная работа. Но заказчик обязан оплатить только ту работу, которая предусмотрена договором (ст. 702, 709 ГК РФ): сделали молча — подарили.

Порядок, который работает:

1. В день инцидента письмо всем клиентам: что произошло, какие их сайты уязвимы, что входит в абонентку, что оплачивается отдельно и сколько стоит. Срок ответа — сутки, потому что ждать неделю нельзя.
2. Для согласившихся — работы и акт по каждому сайту с указанием версии до и после. Для молчащих — обновление в объёме абонентки и письменное предупреждение, что сайт остался уязвимым.
3. Для сайтов на PHP 7.4, где миграция невозможна без переписывания, — отдельная смета, а не «мы попробуем».

Второй пункт важен не только ради денег. Если сайт клиента взломают через месяц, предупреждение в письменном виде отделяет вашу ответственность от его решения не платить. Что делать, когда взлом всё-таки случился, и как успеть в 24 часа с уведомлением Роскомнадзора, мы описали в статье про взлом хостера и утечку ключей.

Налогово у студии всё просто: выручка от дополнительных работ — обычная реализация, затраты на разработчиков — расходы на оплату труда. Сложность в другом: 150–300 тысяч рублей работ за два дня, сделанных без договорённости, в отчёте о прибылях не видны вообще, они просто растворяются в зарплате.

Что грозит, если ничего не оформлять

Сайт или сервис, который остался уязвимым, — это риск взлома, но его оценивают айтишники. Бухгалтерские риски такие:

• Компенсацию клиентам провели как «уменьшение счёта» без корректировочных счетов-фактур: при проверке инспекция восстановит НДС с полной стоимости, доначислит 22% с суммы скидки и пени.
• Миграцию продукта-НМА списали единовременно: расход снимут при выездной проверке с доначислением налога на прибыль и штрафом 20% (п. 1 ст. 122 НК РФ).
• Студия выставила клиентам счета за необъявленные работы: оплату не взыскать, а по акту без подписи доход всё равно придётся отразить на дату выполнения, если вы работаете по начислению.
• Данные пользователей утекли, уведомление в Роскомнадзор не подали: штраф для юрлица от 1 до 3 млн ₽, подробнее в статье про хостера выше.

Что сделать на этой неделе

Собственнику: узнать у технического директора одну цифру — сколько ваших сервисов и клиентских сайтов на PHP 8.1 и старше. Это и есть ваш бюджет на миграцию.

Бухгалтеру: до конца октября получить от айтишников акт об инциденте с датами и перечнем работ, письмо клиентам с условиями компенсации и решение по каждому продукту, числится ли он НМА. От этого зависит, куда лягут 600 000 ₽ за миграцию.

Юристу или тому, кто за него: вписать в SLA пункт об экстренных работах по безопасности с уведомлением за час. Следующая критическая уязвимость будет, и спорить о форс-мажоре второй раз не захочется.

Если нужен расчёт по вашему продукту — числится ли он активом, как провести компенсацию и что выгоднее на вашем режиме, — это задача нашего бухгалтерского обслуживания IT-компаний: мы ведём учёт у студий и SaaS и такие инциденты закрываем вместе с технической командой, а не после неё.

Ставки и нормы в статье проверены по состоянию на 23 октября 2026 года: бюллетень безопасности проекта PHP от 21.10.2026 (версии 8.5.12, 8.4.27, 8.3.36, 8.2.35; CVE-2026-109618, CVE-2026-109619); требование НКЦКИ от 22.10.2026 в изложении РБК; п. 3 ст. 401, ст. 702, 709 ГК РФ; пп. 26 п. 2 ст. 149, п. 3 ст. 168, п. 13 ст. 171, пп. 6 п. 1 ст. 254, п. 2 ст. 257, пп. 26 п. 1 ст. 264, пп. 13 п. 1 ст. 265, пп. 2, 5, 19, 45 п. 1 и п. 3 ст. 346.16, п. 1 ст. 122 НК РФ; постановление Президиума ВАС от 05.02.2008 № 11144/07; письмо Минфина от 04.03.2013 № 03-07-15/6333; пп. «м» п. 5, п. 18 ФСБУ 26/2020; п. 28 ФСБУ 14/2022; ч. 3.1 ст. 21 закона № 152-ФЗ.