Эксперты рассказали, что делать после обнаружения «дыры» в PHP

Владельцам сайтов рекомендовано установить обновления PHP и проверить, не успели ли злоумышленники воспользоваться уязвимостью. Об этом РБК рассказал руководитель центра разработки больших языковых моделей MWS AI (входит в МТС Web Services) Валентин Малых. 21 октября в Европе после обнаружения двух критических уязвимостей PHP временно отключили ряд сайтов госорганов, больниц и других организаций. Одну из ошибок нашли с помощью ИИ-модели GPT-5.6 Sol. Сайты приостанавливали работу в качестве меры предосторожности — уязвимости позволяют удаленно запускать код на сервере. По данным Reuters, сайты начали отключать в Германии, Франции, Бельгии, Нидерландах и Финляндии.

Разработчики уже выпустили исправления, отметил Малых. Для устранения уязвимостей необходимо установить обновления, однако для крупных сайтов с большим количеством доработок это может оказаться непростой задачей. Отдельно Малых указал на проблему с сертификатами безопасности: специалисты установили, что некоторые из них можно подделать и тем самым в теории перехватывать данные пользователей. Разработчики популярных браузеров уже приняли меры защиты, поэтому большинству владельцев сайтов ничего менять не нужно. Сложнее ситуация с корпоративными системами и другим ПО, которое не обновляется автоматически, — их владельцам придется вносить исправления самостоятельно.

PHP — язык программирования для создания сайтов и веб-приложений; его код выполняется на сервере, обрабатывает запросы посетителей, получает сведения из баз данных и формирует страницы. По данным W3Techs на 21 октября, PHP используют 90,9% русскоязычных сайтов, серверный язык которых удалось определить, в мире доля составляет 69,3%. Если владельцы не обновят PHP и связанные модули, злоумышленники потенциально могут получить несанкционированный доступ к данным и контроль над сервером, сообщил РБК Сергей Голованов, главный эксперт «Лаборатории Касперского». Скомпрометированный сервер может использоваться для майнинга криптовалют, подбора паролей к другим ресурсам и проведения DDoS-атак. Менять сертификаты безопасности или протоколы не нужно — основная задача установить обновления PHP и совместимых модулей.

Сайты, временно отключенные в качестве меры предосторожности, смогут возобновить работу после установки обновлений и проверки работоспособности, сказал Голованов. Процесс может занять время, поскольку многие сайты используют дополнительные модули поверх PHP, а из-за большого количества зависимостей обновление может оказаться долгим. Руководитель научной группы «Доверенные и безопасные интеллектуальные системы» Института AIRI Олег Рогов отметил, что ближайшие дни уйдут на обновление серверов, затем могут появиться сайты, которые не обновились, и «по ним будет тянуться хвост взломов», как это было с Log4Shell в 2021 году. Тогда уязвимость называли одной из самых опасных в истории интернета: программа для записи логов слепо выполняла скрытый в тексте вредоносный код, позволяя хакерам мгновенно захватывать контроль над серверами, кейс затронул Apple, Amazon, Steam и iCloud. В интернете много заброшенных сайтов на старых версиях PHP, за которыми никто не следит.

Менять протоколы безопасности не обязательно, поскольку уязвимость находится в интерпретаторе PHP, а не в шифровании, TLS или самих сертификатах. При этом Рогов оговорился: если сайт успели взломать до обновления, злоумышленник мог забрать с сервера закрытый ключ сертификата, пароли к базам данных, ключи API или другие данные — тогда сертификат придется перевыпустить, а все пароли и ключи сменить. Если сервер на актуальной ветке PHP 8.2 или выше, обновление займет несколько минут, а на проверку сервера и следов взлома уйдет до 2 недель. Больше времени потребуется тем, у кого PHP приходит из репозитория вендора операционной системы. Тяжелее придется сайтам на PHP 7 или 5: исправлений для них нет, придется либо переезжать на новую версию (несколько недель), либо держать сайт за фильтрующим экраном. Для обычных пользователей почти ничего не изменится, где-то могут ужесточить ограничения на размер загружаемых файлов или ввести дополнительные проверки при входе.

Ранее Малых сообщил РБК, что из-за «дыры» в PHP под угрозой в России могут оказаться десятки тысяч сайтов, а основная проблема в том, что уязвимости на PHP закрываются очень долго. Гендиректор Cloudflare Мэттью Принс сообщил, что компания зафиксировала миллионы попыток эксплуатации уязвимостей после сообщений об их обнаружении.