PHP выпускает исправления безопасности после того, как уязвимости PHP2Shell привели к миллионам попыток их эксплуатации

21 октября PHP выпустила исправления безопасности для двух критических уязвимостей, объединённых под названием PHP2Shell, которые позволяют захватить сервер без авторизации. Это побудило правительства и организации отключить сайты. Уязвимости затрагивают версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. PHP используется примерно на 70% сайтов, для которых известен серверный язык программирования. Генеральный директор Cloudflare Мэттью Принс сообщил о миллионах попыток эксплуатации после публичного раскрытия информации, тогда как немецкое BSI и правительство Японии заявили, что не подтвердили ни одного успешного взлома. PHP Foundation сообщила, что обнаружила первые признаки одной из уязвимостей ещё в 2024 году, но отложила её устранение из-за сложностей с принятием решений и ограниченных ресурсов.

PHP выпустила исправления для версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35

В среду PHP выпустила версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, говорится в примечаниях к выпуску. Организация заявила: «Полностью устранить угрозу другими способами невозможно — безопасный вариант только один: обновиться». По состоянию на четверг PHP не выпустила дополнительных исправлений. Версии PHP 8.1 и более ранние больше не получают официальных обновлений, однако команда безопасности PHP опубликовала исправления для версий 7.4, 8.0 и 8.1 для пользователей, которые самостоятельно собирают ПО. Хостинг-компаниям, ИТ-отделам и владельцам сайтов необходимо установить исправления вручную, а затем перезапустить ПО, чтобы они вступили в силу.

Cloudflare зафиксировала миллионы попыток эксплуатации

Генеральный директор Cloudflare Мэттью Принс сообщил, что сеть компании обнаружила тысячи попыток эксплуатации за 10 часов до публичного объявления. За 45 минут после раскрытия информации их число выросло до десятков тысяч, за два часа — до сотен тысяч, а затем достигло миллионов. Amazon заявила, что её серверы-приманки зафиксировали попытку эксплуатации 17 октября — за четыре дня до того, как информация об уязвимостях стала общедоступной. Директор по информационной безопасности Amazon Си Джей Мозес написал: «Пока неясно, как злоумышленник получил сведения об эксплойте до публичного раскрытия информации», добавив, что PHP2Shell «сейчас активно используется в реальных атаках».

Германия и Япония не сообщили о подтверждённых взломах

Томас Касперс, вице-президент немецкого федерального ведомства по кибербезопасности BSI, сообщил, что ведомство наблюдало атаки, но не зафиксировало успешной эксплуатации уязвимостей. По его словам, «похоже, эксплуатировать их несколько сложнее, чем ожидалось». Генеральный секретарь кабинета министров Японии Минору Кихара также подтвердил, что атак с использованием этих уязвимостей не выявлено.

PHP Foundation выявила сбои в процессах обеспечения безопасности в 2024 году

В опубликованном в среду блоге PHP Foundation сообщила, что в ходе работы над безопасностью в 2024 году «обнаружила первые признаки проблемы OOM, лежащей в основе CVE-2026-109618», имея в виду ошибку нехватки памяти, связанную с одной из уязвимостей. По данным фонда, команда разработала «несколько конкурирующих решений», но «не могла выбрать одно из них и опасалась последствий, если будет выбрано неверное». Фонд написал: «Не будем делать вид, что это не так: задержка стала системным сбоем, вызванным как процессом принятия решений в команде безопасности, так и нехваткой ресурсов». Раньше команда безопасности принимала решения на основе консенсуса, теперь же их будут принимать большинством голосов.

После раскрытия информации организации отключают сайты

Национальный центр кибербезопасности Великобритании рекомендовал организациям рассмотреть возможность «отключить систему от сети, пока уязвимость не будет полностью устранена». Как сообщает TechRadar, в среду были отключены сервисы Wikimedia, сайты и приложения Orange в десятках стран, 32 государственных сервиса Великобритании, больницы в Нидерландах и федеральный ИТ-провайдер Германии ITZBund. К четвергу вновь заработали сайт Управления по бюджетной ответственности Великобритании и сайт муниципального совета Эдинбурга. Нидерландский анонимный сайт Meld Misdaad Anoniem для сообщений о преступлениях оставался недоступен утром в четверг, сообщает DutchNews.

Компании по кибербезопасности рекомендуют проверить серверы и сменить учётные данные

Компания по кибербезопасности Tag1 рекомендовала администраторам проверить PHP-файлы, загруженные неавторизованными пользователями, изучить новые запланированные задачи и учётные записи, а также сменить пароли баз данных и ключи API на серверах, доступных из интернета и работавших на уязвимых версиях. Компания Mallory насчитала около 884 000 доступных из интернета хостов с версиями PHP, для которых официальные исправления больше не выпускаются. Amazon рекомендовала специалистам по защите систем: «Не следует считать дату публичного раскрытия самой ранней датой эксплуатации», призвав проверить все серверы с уязвимыми версиями, начиная как минимум с 17 октября.

Часто задаваемые вопросы

Какие версии PHP получили исправления безопасности 21 октября?
В среду PHP выпустила версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 для устранения уязвимостей PHP2Shell. PHP заявила, что обновление — единственный безопасный вариант, поскольку полностью устранить угрозу другими способами невозможно.

Сколько попыток эксплуатации PHP2Shell обнаружила Cloudflare после раскрытия информации?
Генеральный директор Cloudflare Мэттью Принс сообщил о тысячах попыток за 10 часов до объявления, десятках тысяч — за 45 минут после раскрытия информации, сотнях тысяч — в течение двух часов и миллионах впоследствии.

Какие организации отключили свои сайты после раскрытия информации об уязвимости PHP?
По данным TechRadar, в среду были отключены сервисы Wikimedia, сайты и приложения Orange в десятках стран, 32 государственных сервиса Великобритании, больницы в Нидерландах и федеральный ИТ-провайдер Германии ITZBund.