Две критические уязвимости PHP угрожают сайтам по всему миру

Команда языка программирования PHP 21 октября сообщила об обнаружении двух уязвимостей, каждая из которых получила 9,2 балла из 10 по шкале оценки опасности CVSS, то есть критический уровень. Они позволяют злоумышленнику удалённо запускать код на сервере без аутентификации. По оценкам W3Techs, PHP используют около 70% всех сайтов в интернете, поэтому под угрозой широкий круг ресурсов. Разработчики настоятельно рекомендуют немедленно установить обновления, которые доступны для PHP версии 8.2 и новее.

Что такое PHP

PHP — язык сценариев с открытым кодом, который в 1995 году создал датский программист Расмус Лердорф. Он обеспечивает серверную часть многих сайтов и онлайн-сервисов. В развитии языка участвуют PHP Group, некоммерческая организация PHP Foundation и независимые разработчики. Многие крупные сайты, включая Facebook, изначально были написаны на PHP, и часть из них продолжает его использовать, чтобы не тратиться на переписывание кода.

Как работают уязвимости

Обе связаны с ошибками при работе с памятью. В первом случае система неправильно обрабатывает запрос и аварийно завершает работу, а при очистке памяти другая ошибка позволяет злоумышленнику получить удалённый контроль над сервером. Во втором в памяти сервера случайно остаются «остатки» данных предыдущего пользователя, что вызывает ошибку при обработке нового запроса и также позволяет запускать вредоносные программы. Атакующие могут получить доступ к файлам и базам данных, изменить содержимое сайта, перенаправить трафик или использовать сервер для спама и DDoS-атак.

Как их обнаружили

Уязвимости независимо нашли две группы исследователей с помощью моделей искусственного интеллекта. Сотрудник компании Calif Райан Остин обнаружил их в августе, а специалисты Wiz сообщили разработчикам о тех же проблемах. По словам OpenAI, команда PHP два месяца работала с Wiz, Cloudflare и другими партнёрами, чтобы выпустить исправление до массовой эксплуатации. В PHP Foundation заявили, что внешний аудит безопасности заметил признаки одной из проблем ещё в 2024 году, но конкретного способа атаки тогда не нашли.

Кому грозит риск

Государственные органы Бельгии, Великобритании, Дании, Нидерландов, Финляндии и Франции временно отключили публичные сайты. В России, где PHP использует более 90% сайтов, хостинг-провайдер Reg.ru ограничил загрузку файлов, а телеканал «Дождь» временно отключил сайт. Риск сохраняется: из почти полумиллиарда сайтов активно поддерживаются лишь 216 миллионов, а многие работают на старых версиях PHP, где установить исправления может быть сложно.