PHP2Shell: две критические уязвимости в PHP, государства отключают сайты

20 октября разработчики PHP предупредили о двух критических уязвимостях, их прозвали PHP2Shell. На PHP работает большая часть сайтов: WordPress, Drupal, Joomla, Magento, «1С-Битрикс» и множество других систем.

По данным Help Net Security, уязвимости позволяют захватить сервер одним запросом, без пароля. Под угрозой любая установка PHP, которая обслуживает сайты. Оценка опасности 9.2 из 10.

Что происходит

21 октября вышли исправленные версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для старых веток 7.4, 8.0 и 8.1 разработчики выложили исправление в исходном коде, часть хостингов выпускает свои обновления.

Ведомства кибербезопасности Европы, Великобритании, Австралии и Японии призвали обновиться или отключить сайты. Финляндия превентивно отключила госсайты, сообщает Yle. По данным Reuters, так же поступили госорганы Нидерландов. Cloudflare сообщает о первых атаках.

Что делать

Обновление WordPress или плагинов не поможет, обновлять нужно сам PHP на сервере. Обычно это делает хостинг: стоит прямо спросить у него, установлено ли исправление.

Самое уязвимое место здесь не основной сайт, его обновят быстро, а забытые: старый лендинг, сайт давней акции, блог, к которому никто не помнит пароль. Именно такие системы, как я писал на днях, ИИ-агенты находят в первую очередь. Стоит составить список всех своих сайтов и по каждому получить ответ от хостинга. Ненужное проще выключить.

Источники: Help Net Security, Yle, Reuters через Global News.