В PHP закрыли две критические уязвимости

21 октября разработчики PHP — языка программирования, на котором работает множество сайтов, — выпустили срочное обновление: версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Оно закрывает две уязвимости, которые получили общее название PHP2Shell. Через них злоумышленник может без логина и пароля запустить свою программу на сервере сайта. Обе оценены в 9,2 балла из 10 по шкале опасности, под угрозой сайты на PHP при любом способе запуска на сервере. Ошибки нашли специалисты компаний Wiz и Calif и команда Codex Security из OpenAI, исправление готовили вместе с командой Gemini из Google. Из-за утечки подробностей выпуск сдвинули на день раньше. Компании Cloudflare и watchTowr сообщили о попытках атак в тот же день, об успешных взломах на момент публикаций не сообщалось.

Что это значит для бизнеса. Если на PHP работает сайт, интернет-магазин или личный кабинет клиентов, его нужно обновить как можно скорее. Обновить движок сайта или плагины недостаточно: исправление ставится в сам PHP на сервере — это делает хостинг или администратор. Для PHP 8.1 и более старых версий разработчики обновлений не выпускают, а американское агентство по кибербезопасности CISA советует отключить такие сайты, пока их не обновят. Временные настройки, по словам разработчиков PHP, закрывают лишь отдельные пути атаки и безопасным сайт не делают.