На 21 октомври 2026 г. бяха публикувани актуализации за две критични уязвимости в PHP – технология, широко използвана за уебсайтове, онлайн магазини и бизнес приложения. Уязвимостите могат да изложат компаниите на риск от неразрешен достъп до системи и данни, включително когато поддръжката на съответните услуги е възложена на външен доставчик. В настоящия материал обобщаваме конкретните стъпки, които компаниите следва да проверят със своите IT екипи и какви правни задължения могат да възникнат при установен инцидент.
Уязвимостите CVE-2026-109618 и CVE-2026-109619 могат да позволят на злонамерени лица да изпълняват код на засегнатите сървъри, без да е необходима предварителна автентикация.
Потенциалните последици включват компрометиране на информационни системи, неразрешен достъп до търговска информация/клиентски данни, прекъсване на онлайн услуги и др.
Препоръчва се своевременно прилагане на наличните актуализации, тъй като временните защитни мерки не гарантират пълна защита.
Рискът е от значение за всяка организация, която използва PHP в своите уебсайтове, клиентски портали, електронни магазини или други онлайн приложения.
Първата стъпка е проверка дали използваните системи са уязвими. Компаниите следва да се свържат незабавно със своите IT екипи или технологични доставчици, за да проверите дали уебсайтовете или онлайн услугите Ви са засегнати. Ако това е така, уверете се, че необходимите актуализации на сигурността се прилагат своевременно.
Възлагането на хостинга или техническата поддръжка на външен доставчик не изключва риска за компанията, нито непременно освобождава организацията от съответните правни задължения.
Не непременно. Самото наличие на уязвимост не означава, че е настъпил инцидент или нарушение на сигурността на Вашите системи или данни. Инцидентът с киберсигурността представлява действително нарушаване на сигурността на системи, услуги или данни. Той може да представлява и нарушение на сигурността на личните данни, когато до тях е осъществен неоторизиран достъп или те са разкрити без разрешение, променени, унищожени или изгубени, включително когато е загубена възможността за достъп до тях. Следователно инцидент с киберсигурността може да възникне, без да засяга лични данни, а едно и също събитие може да попада и в двете категории.
Препоръчваме да задействате процедурите си за реагиране при инциденти и да координирате действията с Вашия IT екип и правен отдел, за да ограничите инцидента, да запазите доказателствата и да прецените евентуалните задължения за уведомяване. Когато са засегнати лични данни, може да се наложи уведомяване съгласно GDPR в рамките на 72 часа от узнаването за нарушението. Следва да се преценят и отделните изисквания за уведомяване в областта на киберсигурността, както и тези, произтичащи от договорите Ви с клиенти, партньори и технологични доставчици.
Задълженията по GDPR и по законодателството за киберсигурност се оценяват отделно и могат да възникнат паралелно. Уведомяването по единия режим не замества автоматично уведомяването по другия.
Екипът на Димитров, Петров и Ко. (DPC) консултира компании по въпроси, свързани със защитата на личните данни, киберсигурността и правните последици от инциденти в мрежовата и информационната сигурност.
Можем да съдействаме при оценката на инциденти и приложимите задължения за уведомяване, комуникацията с компетентните органи, засегнатите лица и бизнес партньорите, както и при анализ на договорните отношения и отговорностите на технологичните доставчици.
При установени признаци за компрометиране на системи или данни препоръчваме своевременно да потърсите правна консултация.
Настоящият материал има информативен характер и не представлява правен съвет по конкретен случай.
С технологиите в сърцето си, Десислава притежава несравним над 20-годишен опит, фокусиран в сферата на правото на информационните технологии и защита на личните данни.
Наред с адвокатската си практика, Невена притежава солиден опит като юрисконсулт в технологични организации, консултиране в областта на спазването на нормативните изисквания и предприемачество в сферата на правните технологии. Нейната работа отразява практическото ѝ разбиране за това как законовите разпоредби се отразяват върху продуктите, хората и бизнес дейностите.
