Почти 70% сайтов в мире под угрозой из-за двух критических дыр в PHP

Разработчики PHP объявили, что выпустят экстренные патчи для двух критических уязвимостей. Обновления выйдут в среду в 14:00 UTC, но могут появиться и раньше, если начнутся реальные атаки.

Бреши позволяют взломать сервер сайта удаленно, без логина и пароля. Рассказываем, что произошло и почему это важно для инвесторов.

Хотите еще эксклюзивных новостей и аналитики? Подписывайтесь на наш телеграм-канал, обсуждайте новости и делитесь мнениями о последних событиях рынка в чате!

Почему это важно

PHP — это язык программирования, на котором работает «начинка» огромного числа сайтов. Пользователь его не видит, но именно он собирает страницу, которую показывает браузер. По данным сервиса W3Techs, на PHP работают почти семь из десяти сайтов. На нем построены WordPress, интернет-магазины на Magento, форумы, корпоративные системы и биллинг.

Есть прямой риск для ивесторов. Злоумышленник может получить полный контроль над сервером, а значит и над данными пользователей и платежной информацией. Чем крупнее бизнес и чем больше у него сайтов на PHP, тем выше вероятность утечек, простоя и убытков.

Для понимания масштаба: июле 2024 года один неудачный апдейт компании CrowdStrike остановил рейсы, нарушил работу больниц и части финансовых компаний.

Что известно об уязвимостях

Брешам присвоили номера CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 из 10 по шкале опасности CVSS. Это означает «критический» уровень. Подробности, список затронутых версий и исправленные сборки PHP пообещали опубликовать вместе с патчем.

В сети появилось видео с инструментом PHP2Shell. Он якобы выполняет чужой код на серверах с популярными приложениями на PHP. Среди них:

• WordPress 7.1.3 — самая популярная система для создания сайтов;
• MediaWiki 1.46.2 — движок, на котором работает Wikipedia;
• Magento 2.4.9 — платформа для интернет-магазинов;
• Joomla 6.2.0 и Drupal 11.4.10 — системы управления сайтами;
• Laravel 13.36.0 и 8.83.29, Symphony 8.1.9 — инструменты для разработчиков;
• phpBB 3.3.17 — форумы;
• WHMCS 9.0.9 — биллинг для хостинг-компаний.

Компания watchTowr, которая занимается кибербезопасностью, сообщила, что утечка затрагивает все версии PHP начиная с пятой. Она вышла еще в 2004 году. watchTowr подтвердила, что обе уязвимости реальны, и призвала относиться к ситуации серьезно.

Поскольку к вечеру вторника не было данных о массовых взломах, часть пользователей Reddit сочла, что паниковать рано.

Возможные последствия

Масштаб проблемы оценивают по-разному. Один из исследователей безопасности предположил, что уязвимы около 1,3 млн серверов в интернете. Компания Sansec заявила, что ждет массовых атак уже через 15 минут после выхода обновления. Логика: как только патч появится, хакеры сравнят старый и новый код, поймут, где была дыра, и начнут автоматически атаковать всех, кто не успел обновиться.

Европейская группа реагирования на инциденты CERT-EU и другие эксперты советовали владельцам сайтов подготовиться заранее:

• выяснить, кто в компании отвечает за PHP;
• найти все приложения, которые на нем работают;
• выделить время на обновление в 14:00 UTC и быть готовыми к более раннему релизу;
• сделать резервные копии файлов сайта и базы данных;
• следить за объявлениями на php.net;
• отключить от интернета некритичные системы, пока патча нет.

Последний совет уже применили многие администраторы. Они временно остановили публичные сервисы на PHP, не дожидаясь обновления.

The post Почти 70% сайтов в мире под угрозой из-за двух критических дыр в PHP appeared first on BeInCrypto.