- Команда безопасности PHP выпускает внеплановые обновления для двух критических уязвимостей с рейтингом 9.2 из 10.
- Эксплойт PHP2Shell позволяет удаленно выполнять произвольный код (RCE), причем утечка данных о багах произошла до официального релиза.
- Под угрозой находятся веб-серверы на базе PHP версий от 5.4 и выше, а официальные патчи получат только ветки 8.2-8.5.
Внеочередной апдейт безопасности PHP
Разработчики языка программирования PHP объявили о выпуске внепланового обновления безопасности. Причиной спешного релиза стало обнаружение двух опаснейших уязвимостей, получивших оценку 9.2 по шкале CVSS v4.0. Времени на подготовку у веб-мастеров практически не осталось: фиксы выходят в 14:00 UTC 21 октября.
Хотя официальная команда проекта воздерживалась от подробного технического описания проблемы, независимые исследователи подтвердили катастрофический характер брешей. По данным компании watchTowr, уязвимости позволяют осуществлять удаленное исполнение произвольного кода (Remote Code Execution, RCE). Ситуацию усугубило распространение в сети видеоматериалов с демонстрацией рабочего инструмента под названием PHP2Shell, способного перехватывать контроль над серверами.
Масштаб угрозы: от старых сборок до современных систем
По информации экспертов по кибербезопасности из фирмы Sansec, проблема затрагивает колоссальное число сайтов: потенциальному взлому подвержены веб-серверы, работающие на версиях PHP начиная с 5.4. В то же время генеральный директор watchTowr Бенджамин Харрис отметил, что утечка сведений о двух RCE-уязвимостях произошла до истечения согласованного эмбарго, оценив опасность обеих проблем в наивысшие 10 баллов по внутренней градации влияния на версии 5, 6, 7 и 8.
| Параметр | Детали инцидента |
|---|---|
| Оценка критичности | 9.2 из 10 (CVSS v4.0) |
| Тип уязвимости | Удаленное выполнение кода (RCE) / PHP2Shell |
| Затронутые версии PHP | PHP 5.4 и новее (включая ветки 5, 6, 7, 8) |
| Поддерживаемые ветки с патчем | PHP 8.2, 8.3, 8.4, 8.5 |
| Время выхода патча | 21 октября, 14:00 UTC |
Реакция индустрии: предупреждения CERT-EU и Cloudflare
Аналитики предупреждают, что масштабная волна атак может начаться уже через 15 минут после публикации исправлений. В связи с этим группа реагирования на инциденты кибербезопасности Европейского союза (CERT-EU) выступила с радикальной рекомендацией: организациям, неспособным оперативно развернуть обновления, следует временно отключить свои ресурсы от сети во избежание компрометации.
Сетевые провайдеры уже разворачивают предварительные защитные механизмы. Технический директор Cloudflare Дейн Кнехт заявил, что сервис фиксирует первые попытки эксплуатации и внедряет новые правила для сетевых экранов (WAF). Однако он подчеркнул, что подобные фильтры являются лишь временной мерой, и единственным надежным решением остается установка официального апдейта.
Системным администраторам и владельцам сайтов необходимо немедленно провести инвентаризацию серверов, подготовить резервные копии баз данных и файлов, а также запланировать техническое окно для развертывания версий PHP 8.2-8.5 сразу после релиза в 14:00 UTC. Устаревшие версии PHP патчей не получат, поэтому их использование в публичном доступе несет прямую угрозу захвата сервера.
Основной вектор риска сейчас смещен в сторону легаси-систем на версиях 7.x и ниже, которые лишены официального саппорта и формируют огромный шлейф уязвимой инфраструктуры. Сигнатуры WAF на уровне Cloudflare лишь отсрочат массовую компрометацию, но без изоляции контуров и бэкпортов патчей enterprise-сегмент ждет тяжелая волна автоматизированных инцидентов.