Обновления безопасности PHP от 21 октября остаются единственным решением против PHP2Shell — пары уязвимостей, которые могут позволить неаутентифицированному злоумышленнику получить контроль над уязвимым сервером. Патчи защищают сервер только после того, как его владелец установит их и перезапустит PHP.

Генеральный директор Cloudflare Мэттью Принс сообщил, что количество попыток эксплуатации в сети компании выросло с тысяч до миллионов. Федеральное агентство кибербезопасности Германии BSI и правительство Японии заявили, что не подтвердили ни одного успешного взлома. PHP Foundation, финансирующая разработку самого PHP, сообщила, что впервые выявила признаки одной из уязвимостей в 2024 году, и назвала задержку с её устранением «структурным сбоем».

Эти события произошли через день после того, как две уязвимости PHP побудили правительства и организации отключить свои веб-сайты. Главный вопрос для пользователей интернета — безопасно ли продолжать обычный просмотр веб-страниц. Краткий ответ: сам интернет не сломался, и большинство пользователей сталкиваются с риском через посещаемые ими веб-сайты, а не через собственные телефоны или компьютеры. Однако многие серверы всё ещё требуют обновления.

PHP — серверный язык с открытым исходным кодом — используется «за кулисами» примерно на 70% веб-сайтов, для которых известен серверный язык программирования. Именно из-за такого охвата уязвимость в самом PHP превращается в событие масштаба всей сети, а не проблему отдельной компании. Две уязвимости, получившие общее название PHP2Shell, могут позволить постороннему получить контроль над уязвимым сервером без авторизации.

Устранена ли уязвимость PHP2Shell?

Согласно замечаниям к релизу, PHP выпустила версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 21 октября. В релизе говорится: «Полных мер смягчения не существует, обновление — единственный безопасный выбор». По состоянию на 22 октября PHP не выпустила дополнительный патч.

Наличие патча не означает, что каждый затронут веб-сайт защищён. PHP не обновляется сама, поэтому хостинговые компании, IT-отделы и отдельные владельцы сайтов должны установить соответствующий релиз на своих серверах и перезапустить ПО, чтобы изменения вступили в силу. На практике защита распространяется со скоростью обслуживания серверов, а не в момент выпуска, поэтому количество оставшихся уязвимыми серверов будет зависеть от того, насколько быстро операторы завершат развёртывание.

PHP 8.1 и более ранние версии больше не получают официальных релизов, что делает старые серверы особенно уязвимым местом. Тем не менее команда безопасности PHP опубликовала базовые патчи для версий 7.4, 8.0 и 8.1 для тех, кто компилирует ПО самостоятельно.

Были ли взломаны серверы?

Злоумышленники начали поиск уязвимых систем очень быстро. Принс сообщил, что Cloudflare зафиксировала тысячи попыток эксплуатации за 10 часов до публичного анонса, десятки тысяч в течение следующих 45 минут, сотни тысяч в течение двух часов и миллионы после этого.

https://x.com/eastdakota/status/2113079352682570051?ref_src=twsrc%5Etfw

Amazon сообщил, что его серверы-приманки зафиксировали попытку 17 октября — за четыре дня до публичного раскрытия уязвимостей. CISO Amazon CJ Моузес написал, что «остаётся неясным, каким образом злоумышленник получил информацию об эксплойте до раскрытия», и отметил, что PHP2Shell «сейчас активно эксплуатируется в дикой природе».

В публикации в блоге по безопасности Amazon сообщил, что активность была замечена до публичного раскрытия.

Однако на тот момент правительства не сообщали о подтверждённых успешных проникновениях. Томас Касперс, вице-президент федерального агентства кибербезопасности Германии BSI, заявил, что агентство наблюдало атаки, но успешной эксплуатации уязвимостей не зафиксировало. Он добавил: «Кажется, что эксплуатировать их немного сложнее, чем ожидалось». Генеральный секретарь кабинета министров Японии Минору Кихара также заявил, что атак с использованием уязвимостей не подтверждено.

Попытка эксплуатации и успешный взлом — разные события. Миллионы попыток могут происходить при отсутствии подтверждённых взломов, а успешные проникновения могут быть обнаружены post factum, а не в реальном времени. Для читателей это означает, что сообщения о подтверждённых взломах, если таковые будут, поступят по итогам последующих расследований и официальных раскрытий, а не в режиме реального времени.

Почему проблему не устранили раньше?

PHP Foundation сообщила, что работа по безопасности в 2024 году «выявила первые признаки проблемы OOM, стоящей за CVE-2026-109618», — имеется в виду баг переполнения памяти в основе одной из двух уязвимостей.

Согласно описанию релиза безопасности от фонда, команда разработала «несколько конкурирующих подходов», но «испытывала трудности с выбором между ними и опасалась последствий выпуска неправильного решения». Фонд отметил, что его финансирование позволило нескольким людям работать над этой проблемой на полную ставку.

«Мы не станем притворяться: задержка была структурным сбоем, вызванным как процессом принятия решений командой безопасности, так и нехваткой ресурсов», — написал фонд. По его словам, команда безопасности, ранее требовавшая консенсуса, теперь будет принимать решения большинством голосов.

Фонд также отметил, что работа по безопасности ПО, котором работает значительная часть интернета, «по-прежнему зависит от небольшой группы разработчиков, финансируемых фондом, и небольшой волонтёрской помощи».

Почему некоторые сайты отключились?

Установка патчей требует времени, и организациям, не способным немедленно применить исправление, рекомендовали отключить системы. Национальный центр кибербезопасности Великобритании в своих рекомендациях посоветовал организациям рассмотреть «отключение системы до полного устранения угрозы».

Согласно TechRadar, 21 октября были затронуты сервисы Wikimedia, веб-сайты и приложения Orange в десятках стран, 32 государственных службы Великобритании, нидерландские больницы и федеральный IT-провайдер Германии ITZBund.

Сайт Управления бюджетной ответственности Великобритании и сайт совета Эдинбурга вернулись в строй к 22 октября. Другие сервисы, включая нидерландский анонимный сайт сообщений о преступлениях Meld Misdaad Anoniem, оставались отключёнными в четверг утром, по данным DutchNews.

Нужно ли пользователям менять пароли?

Не только из-за PHP2Shell — по крайней мере, судя по доступной информации. Подтверждённых утечек данных, связанных с уязвимостями, не было, а смена всех паролей не защитит веб-сайт, чей сервер остаётся необновлённым.

Стандартные меры безопасности остаются полезными: уникальный пароль для каждой учётной записи, включённая двухфакторная аутентификация и внимание к уведомлениям компаний о возможных утечках в ближайшие недели. Если компания подтвердит утечку, следует изменить соответствующий пароль и любой другой пароль, где он повторялся.

Владельцам сайтов предстоит дополнительная работа: установка патча закрывает уязвимость, но не показывает, обращался ли злоумышленник к серверу ранее. Компания безопасности Tag1 советует искать загруженные не владельцем PHP-файлы, новые запланированные задачи и новые учётные записи, а также менять пароли баз данных и API-ключи на любом доступном из интернета сервере, работавшем на уязвимой версии. Рекомендации Tag1 доступны здесь.

Что означает PHP2Shell для криптопользователей?

Основатель Binance Чанпэн Чжао предупредил пользователей в X: «Назовите меня параноиком, но будьте предельно осторожны при посещении ЛЮБОГО веб-сайта в ближайшие несколько дней».

https://x.com/cz_binance/status/2113029289155178716

Скомпрометированный веб-сервер может показать поддельную версию легитимного сайта. В криптосекторе такая страница может предложить пользователю подключить кошелёк и подтвердить транзакцию, которая его опустошит. Сама блокчейн-сеть может остаться незатронутой, в то время как веб-сайты, предоставляющие к ней доступ, — скомпрометированы.

Пользователям следует тщательно проверять, что они подписывают, добавлять используемые сайты в закладки вместо перехода по ссылкам и использовать аппаратный кошелёк, если он есть. По состоянию на 22 октября одна криптобиржа публично не сообщила о взломе, связанном с PHP2Shell.

Безопасно ли пользоваться интернетом?

Просмотр веб-страниц сегодня примерно так же безопасен, как и на прошлой неделе, хотя никакая активность в интернете не является полностью безрисковой. Основная уязвимость — на серверах, которые не были обновлены. Компания безопасности Mallory насчитала примерно 884 000 доступных из интернета хостов, работающих на версиях PHP, которые больше не получают официальных исправлений.

Amazon призвал защитников не считать дату публичного раскрытия самой ранней датой эксплуатации. «Защитникам не следует предполагать, что дата публичного раскрытия является самой ранней датой эксплуатации», — говорится в сообщении компании. Любой сервер, работавший на уязвимой версии PHP как минимум с 17 октября, следует проверить, а не просто обновить
Оригинальный источник: Decrypt