Критичні вразливості PHP поставили під загрозу мільйони вебсистем
PHP Foundation випустив патчі для двох критичних уразливостей PHP, які дозволяють атакувати неоновлені сервери без пароля.
Фонд PHP випустив виправлення двох критичних уразливостей у мові вебпрограмування PHP, які дозволяють віддалено отримати доступ до незахищених систем без пароля. Через ризик атак банки, магазини, лікарні, ігрові платформи та окремі державні установи тимчасово відключали сайти й сервіси для встановлення оновлень.
Про це повідомляє TechCrunch. Уразливості мають позначення CVE-2026-109618 і CVE-2026-109619, а також назву PHP2Shell. Вони дають змогу зловмиснику виконувати код на вразливому сервері через інтернет без взаємодії з користувачем.
Як виникла загроза
Дослідники компанії Calif виявили помилки ще у 2024 році, однак тоді їх не вважали придатними для практичної експлуатації та не виправили. Згодом фахівці знайшли спосіб використати ці вади, після чого повідомили PHP Foundation. Фонд організував закрите поширення інформації та патчів серед великих компаній і хостинг-провайдерів, щоб вони могли оновити системи до публічного розкриття проблеми.
PHP широко застосовують для створення сайтів і вебзастосунків. За оцінкою видання, близько 70% інтернет-ресурсів, доступних із мережі, використовують PHP. На цій мові або пов’язаному з нею програмному забезпеченні працюють, зокрема, WordPress, Drupal, Joomla та MediaWiki.
Ознаки атак до публікації патчів
Amazon заявила, що виявила спроби експлуатації PHP2Shell приблизно за тиждень до появи оновлень, і порадила перевіряти можливі сліди атак від 17 жовтня. Компанія не встановила, яким чином зловмисники дізналися про вразливості. PHP Foundation, зі свого боку, поклала провину за дострокову публікацію патчів на одну з компаній, що могла дати атакувальникам перевагу.
Станом на пізню п’ятницю Palo Alto Networks і Trail of Bits повідомляли про підтверджені компрометації систем та активність після проникнення, пов’язану з PHP2Shell. Водночас масової експлуатації уразливостей поки не зафіксували.
Ризик для неоновлених систем
Генеральний директор Cloudflare Метью Принс заявив, що після розкриття інформації компанія бачила експоненційне зростання кількості спроб атак. PHP використовується не лише на вебсерверах, а й у засобах розробки, компонентах маршрутизаторів, системах зберігання даних, міжмережевих екранах і VPN-пристроях. Дослідники очікують, що системи невеликих ІТ-команд, окремих розробників та застарілі пристрої можуть оновлюватися повільніше й залишатимуться потенційними цілями.
