Новини 6 хв читання
PHP готує екстрений патч через дві критичні вразливості, атаки вже почалися
Команда PHP випускає термінове оновлення через дві критичні вразливості віддаленого виконання коду. Дослідники фіксують перші атаки, а адміністраторам радять оновити систему негайно після релізу.
Кирило ФедорчукПолітичний оглядач
Команда PHP попередила про дві критичні вразливості в ядрі мови, які загрожують мільйонам сайтів по всьому світу. Виправлення мають з’явитися сьогодні, 21 жовтня, о 14:00 за UTC (17:00 за київським часом). Інформація про проблему стала публічною ще до офіційного розкриття, і це змусило розробників пришвидшити реліз.
Дослідники відстежують проблеми під номерами CVE-2026-109618 і CVE-2026-109619. Команда безпеки PHP оцінила кожну в 9,2 бала з 10 за шкалою CVSS v4.0. Хоча деякі дослідники й медіа спершу називали «десятку», офіційна оцінка саме 9,2. Технічних деталей PHP поки не оприлюднила, їх обіцяють опублікувати разом із патчем. Водночас компанія watchTowr підтвердила, що це вразливості віддаленого виконання коду (RCE), і, за даними Patchstack, змогла відтворити одну з них. Проблема сидить в інтерпретаторі, а не в окремій CMS чи плагіні, тож під ударом опиняється будь-який сайт на вразливій версії PHP.
Спершу, 20 жовтня, PHP розіслала попередження: користувачам радили заздалегідь підготуватися до оновлення, а перелік уражених і виправлених версій обіцяли дати разом із релізом. Окремо команда застерегла, що випустить патч раніше, якщо подробиці стануть публічними або з’являться ознаки атак. Саме так і сталося. Вранці того ж дня з’явилися повідомлення про витік. Гендиректор watchTowr Бенджамін Гарріс розповів, що дві RCE-вразливості, які мали вийти з ембарго в четвер об 11:00 за східним часом США, потрапили в мережу. Він назвав їх «CVSS 10» і зазначив, що вони стосуються версій PHP 5, 6, 7 і 8.
Разом із витоком по мережі розійшлося відео з інструментом PHP2Shell. На ньому код віддалено виконується на серверах із такими застосунками, як WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0 і 8.83.29, Symfony 8.1.9, Drupal 11.4.10 та WHMCS 9.0.9. Справжність демонстрації та поведінку експлойта незалежно не перевірено. Невідомо й те, чи вразливі всі ці застосунки за будь-якої конфігурації. Дослідники з Sansec звертають увагу, що в банері інструмента заявлено роботу проти всіх релізів, починаючи з PHP 5.4.0.
Масштаб проблеми пояснюється тим, що PHP працює, за різними оцінками, приблизно на 70% сайтів у світі. Forbes наводить цифру 69%. На PHP тримаються WordPress, Drupal, Joomla, Magento і WooCommerce, а також безліч внутрішніх корпоративних систем. Один із дослідників оцінює кількість потенційно вразливих хостів, підключених до інтернету, приблизно в 1,3 млн. Експерти чекають на швидку реакцію зловмисників. У Sansec прогнозують масові атаки вже за 15 хвилин після виходу патча.
Деякі спроби, схоже, вже тривають. Cloudflare повідомила про перші атаки на PHP-сайти о 07:43 UTC. Patchstack отримала від кількох хостинг-партнерів повідомлення про активну експлуатацію, а Cloudflare та Akamai бачать автоматичне сканування в пошуку вразливих точок. Деякі організації не стали чекати на реліз. Повідомляється про тимчасові збої в роботі нідерландських держплатформ, зокрема MijnOverheid, DigiD і сайту нижньої палати парламенту. Університети, магазини на Magento та форуми на phpBB і vBulletin закривають публічний доступ. Британський NCSC закликав організації підготуватися до негайного оновлення PHP, тривогу підняла й американська CISA.
Не всі зупиняють сайти. Великі проєкти зі спеціалізованими середовищами виконання, WAF та мікросервісною архітектурою менш чутливі до стандартних помилок PHP. Так само спокійніше почуваються сайти, де PHP лише віддає статику без доступу до чутливих баз і авторизації. А ось тим, хто має форми, кошики й особисті кабінети, радять не ризикувати.
Єдине підтверджене рішення — оновити PHP. Практичний порядок дій такий: скласти інвентар усіх серверів і застосунків на PHP, зокрема забутих; зробити резервні копії та погодити технічне вікно; за потреби тимчасово вимкнути необов’язкові сервіси, а для критичних, на кшталт форм і кошиків, розглянути простій до встановлення патча. Після 14:00 UTC брати версії лише з офіційного та з advisory на GitHub-репозиторії php-src, а не з чуток. Після оновлення перезавантажити середовище виконання та перевірити командою php -v, що всі хости справді перейшли на нову версію. PHP Foundation попередила, що сьогодні в репозиторії Remi оновлень не буде, тож пакети доведеться брати з іншого джерела.
Найгірша новина стосується тих, хто досі сидить на застарілих гілках. За даними Patchstack, непідтримувані гілки можуть не отримати виправлень. Про те, які саме версії закриють, звіти розходяться: одні джерела називають підтримувані гілки 8.2–8.5, інші припускають і 8.0+. Остаточна відповідь з’явиться в офіційному повідомленні PHP під час релізу. Якщо ваш сайт працює на PHP 5 чи 7, навряд чи варто розраховувати на латку. Імовірно, доведеться мігрувати на підтримувану версію або тимчасово прибрати сайт із публічного доступу.
5
