PHP випустила патчі безпеки після того, як уразливості PHP2Shell призвели до мільйонів спроб їх експлуатації.

PHP випустила виправлення безпеки 21 жовтня для двох критичних вразливостей під назвою PHP2Shell, які дають змогу зловмисникам отримати несанкціонований контроль над серверами. Через це уряди й організації почали переводити вебсайти в офлайн-режим. Уразливості стосуються PHP версій 8.5.12, 8.4.27, 8.3.36 і 8.2.35, на яких працює приблизно 70% вебсайтів, для яких відома мова серверної частини. Генеральний директор Cloudflare Метью Прінс повідомив про мільйони спроб експлуатації після публічного розголошення, тоді як BSI Німеччини та уряд Японії заявили, що не підтвердили жодного успішного зламу. PHP Foundation повідомила, що виявила перші ознаки однієї з вразливостей у 2024 році, але відклала її виправлення через труднощі з ухваленням рішень і обмежені ресурси.

PHP випустила виправлення для версій 8.5.12, 8.4.27, 8.3.36 і 8.2.35

У середу PHP випустила версії 8.5.12, 8.4.27, 8.3.36 і 8.2.35, згідно з примітками до випуску. Організація заявила: «Повних способів пом’якшити наслідки немає, оновлення — єдиний безпечний варіант». Станом на четвер PHP не випустила жодного додаткового виправлення. PHP 8.1 і старіші версії більше не отримують офіційних випусків, хоча команда безпеки PHP опублікувала виправлення для версій 7.4, 8.0 і 8.1 для користувачів, які самостійно компілюють програмне забезпечення. Хостинг-компанії, ІТ-відділи та власники вебсайтів мають встановити виправлення вручну, а потім перезапустити програмне забезпечення, щоб зміни набули чинності.

Cloudflare зафіксувала мільйони спроб експлуатації

Генеральний директор Cloudflare Метью Прінс повідомив, що його мережа виявила тисячі спроб експлуатації протягом 10 годин перед публічним оголошенням. За 45 хвилин після розголошення їхня кількість зросла до десятків тисяч, за дві години — до сотень тисяч, а згодом — до мільйонів. Amazon заявила, що 17 жовтня, за чотири дні до оприлюднення інформації про вразливості, її сервери-приманки зафіксували спробу експлуатації. Директор з інформаційної безпеки Amazon Сі Джей Мозес написав: «Поки що незрозуміло, як зловмисник отримав інформацію про експлойт до її розголошення», додавши, що PHP2Shell «тепер широко експлуатують у реальних умовах».

Німеччина та Японія не повідомили про підтверджені злами

Томас Касперс, віцепрезидент федерального агентства з кібербезпеки Німеччини BSI, заявив, що агентство спостерігало атаки, але не зафіксувало успішної експлуатації вразливостей, зазначивши: «Схоже, скористатися ними трохи складніше, ніж очікувалося». Генеральний секретар кабінету міністрів Японії Мінору Кіхара також заявив, що не було виявлено жодної атаки з використанням цих вразливостей.

PHP Foundation виявила недоліки процесу безпеки у 2024 році

У середу PHP Foundation опублікувала допис у блозі, де зазначила, що її робота з безпеки у 2024 році «виявила перші ознаки проблеми з нестачею пам’яті, що лежить в основі CVE-2026-109618», маючи на увазі помилку, пов’язану з нестачею пам’яті, яка спричиняє одну з вразливостей. За словами фонду, команда розробила «кілька конкуруючих підходів» до її вирішення, але «не могла визначитися між ними й побоювалася наслідків, якщо випустить неправильне рішення». Фонд написав: «Ми не будемо вдавати, що це не так: затримка була системним недоліком, спричиненим як процесом ухвалення рішень командою безпеки, так і браком ресурсів». Раніше команда безпеки ухвалювала рішення консенсусом, а тепер вирішуватиме більшістю голосів.

Організації вимикають вебсайти після розголошення

Національний центр кібербезпеки Великої Британії рекомендував організаціям розглянути можливість «вимкнути систему, доки її не буде повністю захищено». Як повідомляє TechRadar, у середу офлайн перевели сервіси Wikimedia, вебсайти й застосунки Orange у десятках країн, 32 урядові сервіси Великої Британії, лікарні в Нідерландах і федерального ІТ-провайдера Німеччини ITZBund. До четверга знову стали доступними вебсайт Управління з питань бюджетної відповідальності Великої Британії та сайт міської ради Единбурга. Нідерландський сайт Meld Misdaad Anoniem для анонімних повідомлень про злочини залишався офлайн у четвер уранці, повідомляє DutchNews.

Компанії з кібербезпеки радять перевірити сервери й змінити облікові дані

Компанія з кібербезпеки Tag1 порадила адміністраторам перевірити PHP-файли, завантажені неавторизованими користувачами, переглянути нові заплановані завдання й облікові записи, а також змінити паролі до баз даних і ключі API на доступних з інтернету серверах, де працювали вразливі версії. Компанія з кібербезпеки Mallory нарахувала приблизно 884 000 вузлів, доступних з інтернету, на яких працюють версії PHP, що більше не отримують офіційних виправлень. Amazon порадила фахівцям із захисту: «Не слід вважати, що публічне розголошення було найранішим моментом експлуатації», рекомендувавши перевірити будь-який сервер, на якому з 17 жовтня або раніше працювала вразлива версія.

Поширені запитання

Які версії PHP отримали виправлення безпеки 21 жовтня?
У середу PHP випустила версії 8.5.12, 8.4.27, 8.3.36 і 8.2.35, щоб усунути вразливості PHP2Shell. PHP заявила, що оновлення — єдиний безпечний варіант, оскільки повних способів пом’якшити наслідки немає.

Скільки спроб експлуатації виявила Cloudflare після розголошення PHP2Shell?
Генеральний директор Cloudflare Метью Прінс повідомив про тисячі спроб за 10 годин до оголошення, десятки тисяч за 45 хвилин після розголошення, сотні тисяч протягом двох годин і мільйони згодом.

Які організації вимкнули вебсайти після розголошення вразливості PHP?
Як повідомляє TechRadar, у середу офлайн перевели сервіси Wikimedia, вебсайти Orange у десятках країн, 32 урядові сервіси Великої Британії, лікарні в Нідерландах і федерального ІТ-провайдера Німеччини ITZBund.