Если сегодня вы обнаружили сайты, находящиеся в режиме технического обслуживания , это может быть мерой предосторожности. Сообщения об атаках, направленных на две критические уязвимости PHP, побудили к предупреждениям об установке экстренных обновлений и рассмотрению возможности временного отключения затронутых сервисов до тех пор, пока не будут установлены исправления.
Уязвимости, известные как PHP2Shell, отслеживаются под номерами CVE-2026-109618 и CVE-2026-109619. Обе имеют рейтинг серьезности 9,2 из 10.
Почему это важно
PHP — это язык программирования, который работает в фоновом режиме и обеспечивает функционирование значительной части веб-технологий. Он лежит в основе WordPress, Drupal, Joomla, Magento и многих других приложений, включая программное обеспечение, пользователи которого могут даже не подозревать об использовании PHP.
Успешная эксплуатация уязвимости может позволить злоумышленнику запустить вредоносный код на затронутом сервере без входа в систему. Этот код будет выполняться с правами доступа, доступными процессу PHP, что потенциально позволит злоумышленникам украсть данные приложения, изменить содержимое веб-сайта или установить бэкдор .
Команда разработчиков PHP заявляет, что все установки PHP, обрабатывающие веб-запросы, находятся под угрозой. В некоторых конфигурациях злоумышленник может запустить уязвимость еще до того, как будет выполнен собственный код веб-сайта.
Технический директор Cloudflare Дейн Кнехт сообщил о «появляющихся первых атаках», предупредив при этом, что меры по смягчению последствий с помощью межсетевых экранов являются лишь временной мерой.
Теперь доступны экстренные обновления.
Команда разработчиков PHP запланировала экстренное обновление безопасности на 21 октября в 10:00 утра по восточному времени (14:00 UTC). Уже выпущены исправления для PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 , и настоятельно рекомендуется пользователям немедленно обновиться. Администраторам следует обратиться к своему хостинг-провайдеру или поставщику операционной системы за информацией о соответствующих обновленных пакетах.
Пока администраторы устанавливают обновления и проверяют свои системы, вы можете столкнуться с недоступными веб-сайтами.
CERT-EU рекомендует выявлять приложения, использующие PHP, и как можно скорее устанавливать для них исправления. В тех случаях, когда немедленное устранение проблемы невозможно, рекомендуется рассмотреть вопрос изоляции приложений, доступных из интернета, от общедоступных сетей.
Риск может сохраняться и после сегодняшней чрезвычайной ситуации.
В долгосрочной перспективе проблема заключается в забытой инфраструктуре: заброшенных веб-сайтах, неподдерживаемых приложениях и подключенных устройствах с интерфейсами управления на основе PHP. Уязвимые установки могут оставаться незащищенными, если их никто не обслуживает или поставщик перестал предоставлять обновления.
PHP 8.1 и более ранние версии больше не получают регулярных обновлений безопасности от проекта PHP. Администраторам, использующим эти версии, следует проверить, предоставляет ли их поставщик исправление, или организовать обновление до поддерживаемой версии.
Владельцам веб-сайтов следует выяснить, кто обновляет их базовую установку PHP. Обновление WordPress или его плагинов — это не то же самое, что обновление PHP. Возможно, для применения исправлений потребуется обратиться к хостинг-провайдерам или администраторам серверов.
Для посетителей временный сбой в работе сайта сам по себе не означает, что он был взломан. Это может быть следствием защитных мер, принятых администраторами для установки обновлений.
Однако потребителям следует проявлять особую осторожность, поскольку «доверенный веб-сайт» может перестать быть таковым, и не только из-за PHP2Shell, но и из-за восьми скомпрометированных TLS-сертификатов .
Шахак Шалев, глобальный руководитель отдела исследований мошенничества и искусственного интеллекта в Malwarebytes , сказал:
«Это золотая жила для hackers Они могут взламывать реальные веб-сайты, чтобы воспользоваться репутацией сайта и совершать такие действия, как фишинг, распространение вредоносного программного обеспечения через доверенные каналы. Возможности безграничны».
Что делать
Если вы посетитель сайта:
- На время установки обновлений некоторые веб-сайты могут временно отключаться.
- Обращайте внимание на неожиданный контент, загрузки, перенаправления и повторные запросы на авторизацию, даже на знакомых сайтах.
- Если что-то выглядит неправильно, покиньте страницу.
- Вам не нужно устанавливать обновления PHP на своё устройство.
Если вы владелец веб-сайта:
- Попросите своего хостинг-провайдера или IT-специалиста подтвердить, что исправления PHP установлены , а не просто запланированы, на всех ваших веб-сайтах и в приложениях.
- Если они не могут немедленно установить обновление, спросите, следует ли временно отключить затронутые сервисы.
- Если вы управляете собственными серверами, следуйте инструкциям по обновлению PHP .
- Используете неподдерживаемую версию PHP? Проверьте наличие исправлений от стороннего поставщика или обновитесь до поддерживаемой версии.
Что Malwarebytes делает
- Мы помогаем защитить вас от взломанных сайтов: средства защиты веб-сайтов Malwarebytes и Browser Guard блокируют известные вредоносные сайты, мошеннические страницы и опасные загрузки. Наши исследователи отслеживают сайты, взломанные с помощью этих уязвимостей, чтобы мы могли быстро добавить их в наши списки блокировки.
- Обновление наших собственных веб-сайтов: Мы используем управляемый хостинг-провайдер и работаем с ним над установкой исправлений PHP. Мы внимательно следим за нашими веб-сайтами до тех пор, пока обновления не будут установлены.
Пресекайте угрозы, пока они не нанесли ущерб.
Malwarebytes Browser Guard Автоматически блокирует фишинговые страницы и вредоносные сайты. Бесплатно, установка в один клик. Добавьте в свой браузер →
