Из-за уязвимостей PHP по всему миру начали отключать сайты
Разработчики языка программирования PHP 21 октября выпустили экстренные обновления для устранения двух критических уязвимостей, известных под общим названием PHP2Shell. Обе получили 9,2 балла из 10 по шкале опасности CVSS v4.0. Они позволяют злоумышленникам запускать вредоносный код на серверах без пароля и предварительного доступа к системе. PHP используется примерно на 70% сайтов, для которых удалось определить серверный язык программирования. Из-за угрозы власти и компании в Европе, Азии и США начали срочно обновлять системы и временно отключать сайты.
Первую уязвимость компания Calif обнаружила в августе с помощью ИИ-модели GPT-5.6 Sol в рамках программы OpenAI по поиску ошибок в программном обеспечении. Независимо от нее ту же проблему выявила OpenAI, а специалисты Wiz обнаружили обе уязвимости. В сентябре OpenAI сообщила о дополнительных способах их эксплуатации. При этом предпосылки одной из ошибок разработчики PHP заметили еще в 2024 году, но тогда не смогли найти способ ее использования для взлома. Сам уязвимый код существовал около 14 лет. Обнародовать информацию планировали 22 октября, однако уже 20 октября сведения об уязвимостях начали распространяться в соцсетях. Разработчики PHP перенесли выпуск исправлений на 21 октября. Они вошли в версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Более старые ветки, включая PHP 8.1, проект уже не поддерживает, хотя для некоторых из них доступны отдельные исправления от поставщиков ПО.
Агентство национальной безопасности США (АНБ) 21 октября призвало организации как можно скорее установить обновления безопасности. Ведомство предупредило, что злоумышленники, вероятно, попытаются воспользоваться уязвимостями для атак на серверы. Если оперативно обновить системы невозможно, АНБ рекомендует временно отключить их от интернета до устранения угрозы.
Агентство США по кибербезопасности и защите инфраструктуры (CISA) 21 октября сообщило, что на тот момент не зафиксировало случаев эксплуатации уязвимостей злоумышленниками. При этом ведомство рекомендовало отключить от сети системы на PHP 8.1 и более ранних версиях, для которых уже прекращена официальная поддержка. По состоянию на 22 октября ни одна из двух уязвимостей не была включена в каталог CISA, куда попадают ошибки безопасности с подтвержденными случаями эксплуатации.
В России на угрозу отреагировал Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ. Как сообщил РБК, 22 октября центр разослал через ГосСОПКА предписание владельцам объектов критической информационной инфраструктуры, включая государственные учреждения, банки, энергетические и транспортные компании. Организациям необходимо обновить PHP, а если сделать это быстро невозможно — рассмотреть временное ограничение доступа к уязвимым серверам вплоть до их отключения. После установки исправлений НКЦКИ потребовал проверить серверы антивирусом и изучить журналы событий на предмет следов взлома.
Помимо этого, НКЦКИ рекомендовал организациям проверить всю инфраструктуру, в которой используется PHP, сообщает РИА Новости. Для России угроза особенно актуальна из-за широкого распространения этого языка. По данным W3Techs, PHP используют 90,8% русскоязычных сайтов, серверный язык программирования которых удалось определить. Эксперт «Лаборатории Касперского» Леонид Безвершенко оценил потенциальный масштаб угрозы в десятки миллионов веб-страниц по всему миру.
Первые массовые отключения сайтов начались 21 октября. По данным Reuters, в Нидерландах временно перестали работать сайты Национального центра кибербезопасности, порта Роттердама, пяти крупнейших политических партий и нескольких больниц. Во Франции МВД перевело сайты префектур в режим технического обслуживания. В Германии из-за угрозы временно отключили сайты органов власти федеральной земли Баден-Вюртемберг, берлинской клиники «Шарите» и Федерального верховного суда. Все эти меры принимались для защиты серверов до установки необходимых обновлений.
В Финляндии 21 октября также начали отключать государственные сайты в качестве меры предосторожности. На следующий день ограничения затронули крупные компании и государственные учреждения Японии. Банки Mizuho, Shizuoka Bank и структуры MUFG временно приостановили работу части онлайн-сервисов, авиакомпании ANA и JAL ограничили доступ к отдельным страницам, а JR East и Seven-Eleven Japan отключили некоторые веб-сервисы. Власти также закрыли часть страниц министерств финансов и здравоохранения. Ситуацию в Японии осложняет широкое использование устаревшего ПО. Согласно опросу компаний, зарегистрированных на Токийской фондовой бирже, 70% респондентов, использовавших PHP, работали на версиях с истекшим сроком поддержки. При этом стране не хватает около 110 тыс. специалистов по кибербезопасности.
Публичных подтверждений массовых успешных взломов пока нет, однако попытки воспользоваться уязвимостями начались еще до выпуска исправлений. Amazon зафиксировала первую такую попытку 17 октября — за четыре дня до официального раскрытия информации. Запрос поступил с IP-адреса, связанного с коммерческой сетью анонимизации, и был направлен на специально созданный для выявления атак сервер-ловушку. После публикации исправлений число попыток резко выросло. Cloudflare сообщила о миллионах запросов, направленных на эксплуатацию PHP2Shell, а Hadrian зафиксировала массовые атаки, преимущественно через механизм отслеживания загрузки файлов в пользовательских сессиях.
Специалисты watchTowr также зафиксировали попытки эксплуатации уязвимостей на своих серверах-ловушках, однако успешных взломов в этих наблюдениях не подтвердили. По оценке компании, доступные в открытом доступе примеры эксплойтов либо не работают, либо не позволяют злоумышленникам добиться полноценного выполнения кода на сервере. VulnCheck сообщила о неудачной попытке установить вредоносный скрипт для удаленного управления сервером с китайского IP-адреса. В то же время Patchstack получила от нескольких хостинг-провайдеров сообщения об активных попытках эксплуатации PHP2Shell. Таким образом, специалисты уже наблюдают массовую активность злоумышленников, но ее реальный результат пока остается неясным.
Подпишитесь на «Инк» в Telegram. Там мы пишем нескучным языком о самом важном для предпринимателей. Подписаться.
