Разработчики PHP выпустили экстренные обновления после обнаружения двух критических уязвимостей, которые в определённых конфигурациях позволяют постороннему человеку выполнять команды на сервере без авторизации. Проблема получила название PHP2Shell и потенциально затрагивает огромную часть веб-инфраструктуры. PHP используется примерно на 69% сайтов, для которых известен серверный язык программирования.
Исправления вошли в версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Команда PHP рекомендует устанавливать обновления как можно быстрее и предупреждает, что полноценной замены исправлению нет.
Опасность заключается в том, что ошибка находится не в отдельном расширении WordPress или другой системе управления сайтом, а непосредственно в PHP. Исследователи Wiz смогли продемонстрировать атаку на сайтах под управлением WordPress, Drupal и Joomla, хотя сами эти платформы не были источником проблемы.
В случае успешной эксплуатации атакующий может получить доступ к серверу, выполнять на нём команды и извлекать данные из памяти. По данным Wiz, среди доступной информации могут оказаться пароли, служебные токены и ключи доступа к сторонним сервисам.
Попытки атак уже зафиксированы
В Cloudflare сообщили, что после появления публичной информации об уязвимости её системы начали фиксировать запросы, направленные на эксплуатацию PHP2Shell. Компания заранее активировала защитные правила и позднее заметила, что злоумышленники начали менять запросы в попытках обойти фильтрацию.
При этом подтверждённых данных о массовом успешном захвате сайтов пока нет. Наличие атакующего трафика означает, что уязвимость уже пытаются использовать, но количество реально скомпрометированных серверов не показывается.
Масштаб потенциальной зоны риска остаётся большим. Censys обнаружила около 2,58 млн доступных из интернета хостов с PHP и десятки миллионов связанных с ними веб-ресурсов. Однако эти цифры нельзя автоматически считать количеством уязвимых сайтов — часть серверов могла уже получить исправления через поставщиков операционных систем и хостинга.
Некоторые европейские организации получили рекомендацию временно ограничить доступ к уязвимым PHP-системам, если обновить их немедленно невозможно.
Для владельцев сайтов главный вывод проще технических деталей: необходимо проверить используемую версию PHP и наличие исправления у хостинг-провайдера. Откладывать обновление особенно рискованно, когда способы эксплуатации уязвимости уже стали публичными.
Заместитель главного редактора Happy Coin News. Образование: экономист. Второе образование маркетинг. В криптоиндустрии с 2014 года. Неоднократно выступал в качестве эксперта на РБК. Биткоин — это не спекуляции, а свобода. Но, свобода требует личной ответственности.
