PHP представляет серьезную уязвимость безопасности, глобальные операторы веб-сайтов срочно вводят исправления

Согласно бюллетеню по безопасности, выпущенному командой разработчиков PHP, уровень серьезности двух уязвимостей составляет 9,2 балла с использованием системы оценки уязвимостей CVSS v4.0 с полной оценкой в ​​10 баллов. Команда разработчиков просит всех пользователей PHP подготовиться заранее и обновиться, как только будет выпущено исправление. В объявлении также говорилось, что если подробности уязвимости будут раскрыты заранее или если окажется, что уязвимость действительно используется, патч может быть выпущен заранее.

PHP — наиболее широко используемый серверный язык программирования в инфраструктуре Интернета. Многие веб-сайты используют его для создания веб-страниц, обработки запросов пользователей, подключения к базам данных и выполнения фоновой бизнес-логики. Основные системы управления контентом и платформы электронной коммерции, включая WordPress, Drupal, Joomla и Magento, широко используют PHP. Таким образом, потенциальное воздействие этой уязвимости не ограничивается определенным программным обеспечением или определенным типом веб-сайта, а может затронуть большое количество интернет-сервисов.

Среди них особенно следует отметить масштаб влияния WordPress. Данные, опубликованные WordPress в прошлом году, показали, что платформа поддерживает более 40% веб-сайтов в мире. Компания по кибербезопасности Wordfence отмечает, что веб-сайты WordPress часто работают на серверах с установленным PHP, поэтому, пока в базовой среде PHP существуют неисправленные уязвимости, соответствующие веб-сайты могут подвергаться риску.

По оценкам исследователей в области безопасности, число потенциально затронутых интернет-хостов превышает 1,3 миллиона. Однако это число является предварительной оценкой исследователей и не означает, что все соответствующие хосты были скомпрометированы, и нельзя сделать вывод, что все веб-сайты обязательно будут затронуты в одинаковой степени.

Уязвимости удаленного выполнения кода опасны, поскольку злоумышленник может отправить специально созданные запросы на уязвимый сервер по сети для выполнения вредоносного кода, не требуя законной учетной записи или учетных данных для входа. В случае успеха атаки последствия могут включать в себя вмешательство в страницы веб-сайта, кражу данных на сервере, внедрение вредоносных программ и даже дальнейший контроль над всем сервером. Для веб-сайтов, на которых хранятся профили пользователей, информация о клиентах или записи транзакций, нарушение может также привести к более масштабным утечкам данных и сбоям в бизнесе.

Организация по исследованию безопасности watchTowr заявила, что, основываясь на соответствующей информации, которая в настоящее время утекла, эти две уязвимости могут затронуть несколько версий, начиная с PHP 5. Однако, прежде чем PHP официально полностью раскроет детали уязвимости и список затронутых версий, конкретный масштаб воздействия все еще должен быть предметом официального объявления.

Что еще сложнее, веб-мастера не могут решить проблему просто с помощью функции автоматического обновления WordPress. Wordfence особо напоминает, что на этот раз уязвимость существует в самом PHP, а не в основной программе WordPress или плагине. Таким образом, даже если на веб-сайте автоматически обновлено ядро ​​и плагины WordPress, среду PHP, в которой фактически работает сервер, все равно может потребоваться обновить отдельно.

Для пользователей, использующих виртуальный хостинг, PHP обычно поддерживается хостинг-провайдером; Если веб-сайт работает на самоуправляемом виртуальном частном сервере, облачном сервере или независимом сервере, ответственность за обслуживание может лежать на владельце веб-сайта или системном администраторе. Операторам веб-сайта необходимо подтвердить, какая версия PHP используется в данный момент, кто управляет сервером и будет ли поставщик услуг своевременно развертывать восстановительную версию.

Европейская группа реагирования на чрезвычайные ситуации в области кибербезопасности (CERT-EU) и Национальный центр кибербезопасности Великобритании выпустили предупреждения, рекомендуя организациям, которые не могут немедленно завершить восстановление, временно изолировать интернет-приложения от общедоступной сети или напрямую отключить соответствующие веб-сайты до тех пор, пока уязвимость не будет эффективно устранена. В ЕС особо отметили, что уязвимость может позволить злоумышленникам выполнить вредоносный код без входа в систему, поэтому организациям следует заранее выявить затронутые активы и подготовиться к экстренным обновлениям.

Некоторые учреждения уже приняли профилактические меры. Команда разработчиков мобильной операционной системы GrapheneOS заявила, что временно закрыла свой дискуссионный форум пользователей, чтобы избежать ненужных рисков, поскольку код атаки, подтверждающий концепцию уязвимости, находится в стадии разработки. Разработчик PHP Джина Питер Багьярд также заявила, что установка патчей является ключом к решению проблемы; если его невозможно исправить вовремя, более безопасным решением может быть выключение сервера.

Исследователи кибербезопасности также предупредили, что после выхода патча злоумышленники могут быстро проанализировать различия в коде до и после патча, узнать, как эксплуатировать уязвимость, и начать масштабные атаки на серверы, которые не были обновлены. Исследовательская организация по безопасности Sansec прогнозирует, что крупномасштабные атаки могут произойти уже через 15 минут после публикации патча. Этот прогноз не означает, что атака обязательно произойдет в течение этого периода времени, но он отражает опасения индустрии безопасности по поводу быстрого расширения рисков после того, как уязвимость будет обнародована.

Тем временем технический директор Cloudflare Дейн Кнехт заявил, что платформа заметила первые признаки атак, нацеленных на веб-сайты, использующие PHP. Cloudflare временно корректирует правила брандмауэра, чтобы обеспечить дополнительную защиту, пока не будет выпущен официальный патч. Однако он подчеркнул, что эти меры могут использоваться лишь как переходное решение и не могут заменить формальный ремонт.

Австралийский центр кибербезопасности заявил, что на тот момент не было обнаружено никаких подтвержденных действий по эксплуатации, связанных с этими двумя уязвимостями, и рекомендовал организациям как можно скорее провести инвентаризацию систем, работающих на PHP, заранее подготовить исправления и постоянно отслеживать приложения на предмет аномалий. Различные службы безопасности по-разному оценивают ситуации атак, а это означает, что данные об угрозах по-прежнему быстро меняются, и операторам веб-сайтов не следует предполагать, что их системы безопасны только потому, что крупномасштабные атаки еще не подтверждены.

Для обычных владельцев веб-сайтов самым важным уроком из этого инцидента является то, что безопасность веб-сайта зависит не только от того, обновляется ли система управления контентом и плагины, но также от того, своевременно ли поддерживается базовая операционная среда сервера. Даже если веб-сайт редко обновляет контент, пока услуги по-прежнему предоставляются через Интернет, серьезные уязвимости в базовом программном обеспечении могут стать отправными точками для атак.

PHP официально планирует выпустить исправленную версию в 14:00 UTC 21 октября 2026 года, что соответствует 22:00 по пекинскому времени. Команда разработчиков заявила, что в это же время она дополнительно объявит подробности уязвимости, затронутые версии и информацию об исправленных версиях. Администраторам веб-сайтов следует как можно скорее после выпуска официального обновления подтвердить, завершил ли ремонт поставщик услуг или их собственный сервер, а также при необходимости проверить системные журналы и выявить аномальные действия.

Поскольку обновление PHP скоро будет выпущено, большое количество веб-сайтов по всему миру перейдут на стадию аварийного обслуживания. Риск этого инцидента исходит не только из самой уязвимости, но и из-за большого количества серверов старых версий в Интернете, а также из-за того, что владельцы веб-сайтов могут не успеть выполнить обновления. Для критически важных систем, которые не могут быть немедленно отремонтированы и которые напрямую подключены к Интернету, возможно, безопаснее временно ограничить доступ или отключить их от сети, чем продолжать подвергаться риску.

Подробнее:

https://www.php.net/index.php