Критические уязвимости PHP затронули около 50 тысяч российских веб-приложений

Патч опоздал на семь часов: хакеры начали атаки раньше, чем вышло обновление

Первые атаки зафиксировали утром 21 октября по всемирному координированному времени. Обновление, закрывающее обе бреши, выложили только к вечеру того же дня. Между этими двумя моментами прошло больше семи часов, в течение которых серверы по всему миру оставались открытыми.

Речь о двух критических уязвимостях в интерпретаторе PHP. Каждая получила 9,2 балла из 10 по шкале CVSS 4.0. Это почти максимум. Злоумышленник может выполнить команды на чужом сервере без авторизации — просто отправив специально сформированный запрос.

Одну из дыр, по сообщениям разработчиков, нашли с помощью модели GPT-5.6 Sol. Искусственный интеллект искал слабые места в коде, который писали люди.

Почему пострадал не один движок, а весь стек

PHP — не какая-то CMS. Это язык, на котором работают миллионы сайтов. WordPress, Joomla, самописные движки, интернет-магазины, личные блоги, корпоративные порталы. Если сервер крутит уязвимую версию, не важно, что стоит сверху.

По оценке BI.ZONE, в российском сегменте сети насчитали порядка 50 тысяч потенциально уязвимых веб-приложений. Алексей Романов, руководитель платформы BI.ZONE WAF, советует не ждать: проверить версии PHP заранее и ставить исправления сразу, как только они появятся.

«В открытом доступе появилась информация о двух критических уязвимостях в интерпретаторе PHP, которые дают хакерам возможность получить доступ к серверу без авторизации. А это, в свою очередь, приводит к компрометации инфраструктуры сервера, после чего хакеры могут получить доступ к хранящимся там данным пользователей, вбить вредоносный код или постараться проникнуть в инфраструктуру организации», — пояснил старший эксперт Kaspersky GReAT Леонид Безвершенко.

Цифра в 1,3 млн подключенных к интернету хостов, которую приводит The Verge, — это не количество взломанных сайтов. Это сколько машин в принципе отвечает снаружи и может работать на уязвимой сборке. Разница принципиальная: открытый порт не равен пробитой обороне.

Тем не менее риск утечек, внедрения вредоносного кода и компрометации внутренней инфраструктуры организаций вполне реален. Особенно когда технические материалы об эксплуатации брешей уже гуляют по сети.

Европа не стала ждать. В Нидерландах и Германии администраторы превентивно отключили часть ресурсов. Министерство иностранных дел Бельгии тоже приостановило работу своих интернет-страниц. Ряд сайтов госорганов, больниц и других организаций в Европе временно перестали открываться. Само отключение, подчеркнем, не значит, что ресурс уже взломали, — это способ перекрыть кислород атаке до установки патча.

Исправления выпустили для поддерживаемых веток PHP 8.2, 8.3, 8.4 и 8.5. Владельцам более старых версий придется отдельно смотреть, жива ли еще поддержка и есть ли под них заплатка.

Безвершенко рекомендует не ограничиваться одним обновлением: запретить загрузку некоторых форматов данных, сделать резервные копии, вынести важную информацию в безопасное место. Пользователям сервисов — включить двухфакторную аутентификацию и поставить защиту от вредоносных программ. Эти меры не латают дыру на сервере, но сокращают ущерб для аккаунтов и устройств.

Главное простое: пока на машине стоит уязвимая версия PHP, она остается мишенью. Каждый час промедления работает на атакующих.