Миллионы сайтов под угрозой из-за критических уязвимостей в PHP
В популярном языке программирования PHP, который используется почти на 70% сайтов в мире, обнаружили две критические уязвимости. Их опасность оценили в 9,2 балла из 10, и они позволяют злоумышленникам получить контроль над сервером, пишет Rzeczpospolita со ссылкой на Reuters и The Guardian.
Что случилось?
Организация, отвечающая за развитие PHP, в среду опубликовала обновления безопасности после того, как исследователи, тестирующие защищённость информационных систем, обнаружили уязвимости.
Проблема заключается в том, что многие сайты по-прежнему работают на старых версиях программного обеспечения, которые больше официально не поддерживаются.
Агентство национальной безопасности США (NSA) рекомендовало всем организациям, использующим PHP, отключить свои системы, если они не могут немедленно установить исправления.
Например, в Польше Министерство цифровизации в четверг утром сообщило о временном отключении сайтов Бюллетеня публичной информации (BIP), работающих в Централизованной системе доступа к публичной информации (SSDIP).
«Уязвимости позволяют злоумышленникам удалённо выполнять произвольные системные команды из-за ошибок в механизме управления памятью. Уязвимы все версии PHP начиная с 5.4 и выше. Единственный эффективный способ защиты от эксплуатации этих уязвимостей — установка исправленной версии PHP.
При обнаружении следов эксплуатации уязвимостей просим незамедлительно связаться с командой CERT Polska через форму на сайте incydent.cert.pl. Актуальная информация и рекомендации относительно уязвимостей PHP публикуются на сайте moje.cert.pl».
Обнаружить одну из уязвимостей помогла модель GPT-5.6 Sol от OpenAI. Также обе проблемы независимо выявили исследователи Wiz.
В устранении угрозы участвовали Cloudflare и разработчики PHP.
21 октября разработчики PHP выпустили экстренные патчи для версий 8.2–8.5. Пользователям рекомендуют немедленно обновить серверы. Cloudflare также внедрила защиту от PHP2Shell для пользователей своего веб-экрана (WAF), включая бесплатный тариф. Однако полноценной заменой обновления PHP такая защита не является.
Эксперты предупреждают о возможной волне кибератак в ближайшие недели и месяцы. И они уже пошли, если честно.
При этом первые сигналы об одной из уязвимостей появились ещё в 2024 году. Устранение проблемы затянулось из-за технических сложностей и опасений нарушить работу существующих приложений.
