Красноярский эксперт предупредил о критических уязвимостях PHP

Красноярский специалист по кибербезопасности Денис Якунин призвал владельцев сайтов срочно выяснить у своего программиста, обновлён ли на сервере PHP. Об этом он предупредил в видеообращении.

В PHP обнаружили две уязвимости, которые позволяют взломать сайт без логина и пароля. Разработчики выпустили исправления 21 октября внеочередным обновлением. Обе уязвимости оценили в 9,2 балла из 10 по шкале CVSS — это критический уровень угрозы. Уязвимыми оказались сайты по всему миру.

PHP — язык программирования, на котором работают многие сайты и интернет-магазины, в том числе на WordPress и «1С-Битриксе». Изначально его название расшифровывалось как Personal Home Page («личная домашняя страница»), сейчас официальная расшифровка другая — Hypertext Preprocessor.

Уязвимости нашли в самом языке, поэтому под угрозой любой сайт на PHP, на каком бы движке он ни был сделан. Злоумышленник может запускать на сервере свои команды — например, выгрузить базу клиентов или встроить в сайт вредоносный код.

«Если у вас есть сайт, срочно сегодня звоните своему айтишнику. Если ваш айтишник сказал, что ваш сайт защищен, проверьте, задайте ему три вопроса. Первый: наш сайт работает на PHP? Второй: какая версия установлена? И третий: закрыта ли вчерашняя уязвимость? И потребуйте подтверждения обновления», — говорит Якунин.

Исправленные версии PHP — 8.5.12, 8.4.27, 8.3.36, 8.2.35 и все более новые. Для старых версий официальных обновлений не будет, и их, скорее всего, придётся менять на новый PHP.

В подписи к ролику Якунин отдельно пишет про обновление самих сайтов.

«Если вам говорят „у нас обновлен WordPress“ — этого недостаточно. PHP обновляется отдельно», — пишет он.

С сайтами на «Битриксе» так же. В компании пояснили, что обновление их продукта не заменяет обновление PHP на сервере.

На обычном хостинге версию PHP видно в панели управления. Многие хостинг-провайдеры могли уже установить исправления сами, но проверить это всё равно нужно. Переписывать сайт, по словам Якунина, обычно не требуется. А если сайт долго работал на старой версии, его лучше проверить еще и на следы взлома.

В конце августа Якунин в колонке рассказывал, что после обнаружения уязвимостей хакеры стали быстрее начинать атаки. А в октябре в интервью объяснил, кто может прочитать вашу переписку с нейросетью.