Критичні вразливості PHP: рекомендації для вебсайтів
ЄС попереджає організації про дві критичні вразливості PHP рейтингом 9,2 CVSS. Операційники повинні негайно оновити серверне ПО або перевести сайти в офлайн до виходу патчу
Агентство з кібербезпеки ЄС (CERT-EU) видало строге попередження щодо двох критичних вразливостей у мові програмування PHP, які отримали найвищий рейтинг серйозності 9,2 за шкалою CVSS v4.0. Розробники обіцяли випустити виправлення, однак організації, які не матимуть змогу застосувати патч одразу, отримали рекомендацію тимчасово перевести вразливі веб-сайти в режим офлайн.
Масштаб загрози: PHP у структурі інтернету
PHP є однією з найпоширеніших серверних мов програмування світу. На ній працюють сайти на основі WordPress, Drupal, Joomla та Magento, а також платформи спільного хостингу та панелі управління вебсервісами. За даними дослідження компанії Huntress, це програмне забезпечення тихо підтримує «велику кількість додатків, які не оголошують про своє використання PHP».
Критична вразливість дозволяє зловмисникам запускати довільний код без аутентифікації – несанкціоноване виконання віддаленого коду (RCE). Наслідком може стати крадіжка даних користувачів, дефейс веб-сайту або повна компрометація серверної системи.
Рекомендації органів кібербезпеки
Тім CERT-EU спонукав операційників веб-сервісів до негайних дій: виявити всі системи PHP у своїй інфраструктурі, підготуватися до інстальяції патчу при його випуску та контролювати журнали на предмет ознак атак. Австралійський центр кібербезпеки (ACSC) видав аналогічні рекомендації, зазначивши при цьому, що на момент повідомлення активні експлуатації цих вразливостей ще не зафіксовані.
Дейн Кнехт, головний технолог компанії Cloudflare, повідомив, що атаки вже виявляються на ранніх етапах, тому його команда оновлює правила брандмауера як тимчасовий захист «до офіційного випуску виправлення». Компанія GoDaddy та плагін безпеки Wordfence наголосили, що автоматичні оновлення WordPress не застосовуватимуть патч PHP – власники сайтів мають самостійно з'ясувати, хто відповідає за оновлення середовища на їхніх серверах.
Часовий план та технічні деталі
Розробники PHP заявили про випуск патчів на 14:00 за гринвічським часом у день публікації попередження. На цей момент CERT-EU і ACSC підтвердили, що вразливими можуть бути всі версії PHP від PHP 5 й далі, однак конкретні уражені версії та виправлені випуски мають бути оприлюднені разом із патчами. Усім адміністраторам рекомендується оновити програмне забезпечення невідкладно після доступності виправлення.
Чи впливають ці вразливості на мої сайти?
Якщо ваш веб-сервер працює на PHP (WordPress, Drupal, Joomla, Magento або користувацькі додатки на PHP), вам потрібно перевірити версію та застосувати патч. Звертайтеся до свого хостер-провайдера або адміністратора серверів для уточнення поточної версії PHP.
Що робити, якщо я не можу оновити PHP відразу?
CERT-EU рекомендує як тимчасовий захід перевести вразливі сайти в режим офлайн до застосування патчу. Альтернативно, можна скористатися брандмауерними правилами (як робить Cloudflare), але це лише проміжна міра – оновлення PHP є обов'язковим.
Чи автоматично оновиться PHP на моєму сайті WordPress?
Ні, автоматичні оновлення WordPress не охоплюють оновлення самої мови PHP. Вам потрібно звернутися до хостера або адміністратора серверів для застосування патчу.
Чи вже використовуються ці вразливості для атак?
ACSC повідомив, що на момент видання рекомендацій активних масштабних експлуатацій не зафіксовано, але Cloudflare вже спостерігає ранні спроби атак, тому дії мають бути швидкими.
