Критические уязвимости в PHP угрожают отключением миллионов сайтов

Сегодня владельцам сайтов стоит готовиться к массовым страницам ошибок: почти 70% веб-ресурсов необходимо срочно обновить ядро своего программного обеспечения, чтобы закрыть пару уязвимостей, позволяющих злоумышленнику захватить полный контроль над уязвимым сервером. По словам экспертов, для этих брешей существуют рабочие эксплойты, и критические ошибки уже эксплуатируются в реальных условиях. Уязвимости присутствуют в PHP — языке программирования, на котором работают сайты под управлением множества веб-платформ, включая Drupal, Magento, Joomla и WordPress. Ранее сегодня PHP выпустил экстренное обновление безопасности, устраняющее две критические ошибки, которые позволяют атакующему выполнить произвольный код на уязвимом сервере. Reuters сообщает, что правительственные сайты в Европе и других регионах ушли в офлайн после раскрытия уязвимостей PHP. Cloudflare заявила, что уже зафиксировала факты эксплуатации, и в 3:02 (UTC) внедрила правила веб-application firewall для защиты сайтов от атакующего трафика, пытающегося использовать эти ошибки. Эксплуатация может привести к отказу в обслуживании, удалённому выполнению кода (RCE) и утечке данных. OpenAI, участвовавшая в исследовании уязвимостей и информировании о них, заявила: «Учитывая серьёзность этих ошибок и повсеместное использование PHP, мы считаем это одной из самых значимых проблем безопасности за последнее время». Компания Censys, отслеживающая используемые интернет-хостами технологии, сообщила, что недавнее сканирование выявило примерно 2,58 млн интернет-хостов и 54,9 млн веб-ресурсов, работающих на PHP.

Подробности

Специалисты Wiz отметили, что каждая версия PHP, выпущенная за последнее десятилетие, подвержена как минимум одной из этих уязвимостей. «Эти находки относятся к числу самых серьёзных уязвимостей, обнаруженных в PHP, и, возможно, за всю историю программного обеспечения, — говорится в блоге исследовательской команды Wiz. — Лежащие в их основе ошибки существовали десятилетиями, но демонстрация их эксплуатируемости требовала исключительно сложной цепочки шагов, на грани того, что исследователи-люди могли практически осуществить. Передовые ИИ-модели существенно снизили этот барьер, превратив давнюю ошибку в эксплойт». По мнению исследователей Wiz, уязвимости PHP, вероятно, будут массово эксплуатироваться для установки веб-бэкдоров или «веб-шеллов» — панелей, дающих атакующим возможность удалённо управлять заражёнными сайтами. Wiz также сообщила, что до публичного раскрытия ошибок PHP компания совместно с командой PHP, Calif и OpenAI оценивала масштаб проблемы и координировала проверку патчей и раскрытие информации. Уязвимости нулевого дня в PHP отслеживаются по номерам CVE-2026-109618 и CVE-2026-109619 и затрагивают все веб-серверы под управлением PHP 5.4 и новее. Ошибки исправлены в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

Что делать

Необходимо как можно скорее обновить PHP до одной из исправленных версий — 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Если обновление невозможно в кратчайшие сроки, следует временно включить правила веб-application firewall (например, от Cloudflare) для блокировки атакующего трафика. После обновления рекомендуется проверить серверы и веб-ресурсы на наличие веб-шеллов и подозрительной активности, а также усилить мониторинг журналов доступа. С учётом наличия рабочих эксплойтов и массового характера проблемы обновление PHP является критически приоритетной задачей для всех, кто использует эту платформу.

Источник: Krebs on Security