PHP под угрозой: почему вашему серверу срочно требуется обновление

В сфере веб-разработки одни новости можно отнести к категории «приятного бонуса», а другие — «бросить всё и немедленно исправить». Сегодня мы определённо находимся во второй категории.

Только что было опубликовано масштабное предупреждение о безопасности, касающееся двух критических уязвимостей в PHP — фундаменте значительной части интернета. С уровнем опасности 9,2 из 10 это не просто мелкие ошибки: они потенциально способны полностью обрушить сайты.

Угроза: Remote Code Execution (RCE)

Суть проблемы заключается в Remote Code Execution. Иными словами, злоумышленник не просто посещает ваш сайт — он получает возможность запускать собственный произвольный код непосредственно на вашем сервере. Это означает, что он может изменять содержимое сайта, перехватывать сессии пользователей или — что хуже всего — извлекать конфиденциальные данные из вашей базы данных.

Масштаб угрозы поражает. Поскольку эти уязвимости затрагивают почти все версии PHP, начиная с версии 5, «радиус поражения» огромен. На WordPress приходится более 40% всех сайтов в интернете, а практически каждый сайт на WordPress работает на PHP, поэтому значительная часть интернета сейчас находится под ударом.

Почему «автоматические обновления» могут вас не спасти

Если вы не специалист, возможно, вы привыкли нажимать «Обновить» на панели управления WordPress и считать на этом работу оконченной. Но сегодня не полагайтесь на это.

Эксперты по безопасности, включая команду Wordfence, предупредили, что эти конкретные исправления нельзя применить с помощью стандартных механизмов автоматического обновления CMS. Это исправление на уровне сервера. Вам (или вашему DevOps-инженеру) необходимо вручную обновить версию PHP в среде хостинга, чтобы обновление было применено корректно.

«Ядерный вариант»: перевод сайтов в офлайн

Уязвимость настолько серьёзная, что такие организации, как Национальный центр кибербезопасности Великобритании и CERT Евросоюза, выпустили строгие рекомендации. Если вы не можете немедленно установить обновление на сервере, самым безопасным решением может быть изолировать приложение от публичного интернета или полностью перевести его в офлайн.

Это может показаться крайней мерой, но, поскольку эксплойты proof-of-concept уже разрабатываются, время «подождать до выходных» уже прошло. Более того, Cloudflare уже сообщила о случаях первых атак на сайты, работающие на PHP.

Советы разработчикам и администраторам:

1. Проверьте версию PHP: Точно знайте, какая версия у вас работает.
2. Не ждите выхода плагина: Если вы управляете собственным VPS или облачным инстансом, немедленно выполните обновления с помощью менеджера пакетов (например, sudo apt upgrade php).
3. Используйте Firewall: Если вы не можете установить обновление прямо сейчас, убедитесь, что ваш WAF (Web Application Firewall) обновлён и способен выявлять первые паттерны эксплуатации уязвимости.
4. Следите за логами: Внимательно отслеживайте серверные access-логи, обращая внимание на необычные POST-запросы и неожиданное выполнение команд.

В NameOcean мы знаем, что стабильная работа — это важно, но по-настоящему важна именно безопасная стабильная работа. Не позволяйте одной уязвимости перевести в офлайн всё, над чем вы работали, — обновите среду PHP уже сегодня!