Критические уязвимости PHP могут вывести сайты из строя до выхода патча
Разработчики языка программирования PHP планируют сегодня выпустить исправления для двух критических уязвимостей с оценкой 9,2 из 10. Ведомства по кибербезопасности советуют сайтам, которые не могут сразу установить патч, временно отключить системы.
Разработчики PHP, языка программирования, который широко используют для создания сайтов и веб-приложений, сообщили, что исправления для двух критических уязвимостей выйдут сегодня в 10:00 по восточному времени США (ET). В бюллетене, опубликованном во вторник, уязвимости оценены в 9,2 балла из 10 возможных. Если подробности уязвимостей станут публичными или появятся признаки их активной эксплуатации, патч могут выпустить раньше. Пользователей призывают обновить PHP, как только релиз будет доступен.
Что могут сделать атакующие
По данным компании по кибербезопасности watchTowr, речь идёт об уязвимостях удалённого выполнения кода, которые, как сообщается, затрагивают все версии PHP, начиная с PHP 5. Злоумышленники могут запускать собственный код на уязвимых серверах, изменять сайты, похищать данные и совершать другие вредоносные действия.
Возможный масштаб
Один из исследователей безопасности оценивает, что затронуто может быть более 1,3 млн хостов, подключённых к интернету. Wordfence, поставщик плагинов безопасности для WordPress, предупредил, что уязвимым окажется каждый сайт на WordPress, поскольку все они работают на серверах с PHP. В прошлом году WordPress сообщал, что на нём работает более 40 процентов интернета. Wordfence также отметил, что исправление нельзя установить через автоматические обновления, поэтому владельцам сайтов нужно выяснить, кто отвечает за обновление PHP, и применить патч вручную.
Рекомендации и уже начавшиеся атаки
Группа реагирования на компьютерные инциденты Европейского союза и Национальный центр кибербезопасности Великобритании опубликовали предупреждения. Они советуют организациям, которые не могут сразу установить патч, изолировать приложения, доступные из интернета, от публичных сетей или полностью отключить их, пока риски не будут устранены. Разработчик мобильной операционной системы GrapheneOS временно отключил форум для пользователей, так как уже создаются демонстрационные эксплойты. Разработчик PHP Джина Питер Баньяр заявляет, что патч — единственный способ защиты, а в остальных случаях отключение серверов может быть самым разумным решением.
Исследователи компании Sansec ожидают массовых атак в течение 15 минут после выхода релиза. Технический директор Cloudflare Дейн Кнехт говорит, что на PHP-сайты платформы уже совершаются первые атаки, а компания временно обновляет правила межсетевого экрана как промежуточную меру до выхода исправления.
