Эксперты рассказали, что делать после обнаружения «дыры» в PHP

Владельцам сайтов порекомендовали установить обновления и проверить, не успели ли злоумышленники воспользоваться «дырой» в языке программирования PHP. Об этом РБК рассказал руководитель центра разработки больших языковых моделей MWS AI (входит в МТС Web Services) Валентин Малых.

21 октября в Европе после обнаружения двух критических уязвимостей PHP временно отключили ряд сайтов госорганов, больниц и других организаций. Одну из ошибок нашли с помощью ИИ-модели GPT-5.6 Sol. Сайты приостанавливали работу в качестве меры предосторожности — уязвимости позволяют злоумышленникам удаленно запускать код на сервере. По данным Reuters, из-за угрозы кибербезопасности сайты начали отключать в Германии, Франции, Бельгии, Нидерландах и Финляндии.

После обнаружения опасных уязвимостей в ПО PHP, на котором работают многие сайты, разработчики уже выпустили исправления, отметил Малых. Для их устранения необходимо установить обновления. При этом для крупных сайтов с большим количеством доработок, по его словам, обновление может оказаться непростым.

Также Малых указывает на проблему с сертификатами безопасности, которые помогают браузерам убедиться, что пользователь действительно зашел на сайт. Специалисты установили, что некоторые сертификаты можно подделать, тем самым, в теории, перехватывая данные пользователей.

«Разработчики популярных браузеров уже приняли меры защиты. Поэтому большинству владельцев сайтов ничего менять не нужно. Сложнее ситуация с корпоративными системами и другим программным обеспечением, которое не обновляется автоматически. Их владельцам придется самостоятельно вносить исправления, и эта задача может быть нетривиальной», — рассказал он.

Если владельцы сайтов не обновят PHP и связанные с ними модули, злоумышленники потенциально могут получить несанкционированный доступ к данным и контроль над сервером, сообщил РБК Сергей Голованов, главный эксперт «Лаборатории Касперского». Скомпрометированный сервер может использоваться для различных вредоносных действий, включая майнинг криптовалют, подбор паролей к другим ресурсам и проведение DDoS-атак, предупредил он.

Менять сертификаты безопасности или протоколы в рамках устранения этих уязвимостей не нужно, основная задача — установить необходимые обновления PHP и совместимых с ним модулей.

«Сайты, которые были временно отключены в качестве меры предосторожности, смогут возобновить работу после установки обновлений и проверки работоспособности. При этом процесс может занять некоторое время, поскольку многие сайты используют дополнительные модули, работающие поверх PHP», — сказал Голованов. По словам эксперта, в большинстве случаев установка необходимых обновлений позволит устранить обнаруженные уязвимости. Однако из-за большого количества зависимостей между PHP и дополнительными компонентами процесс обновления может оказаться достаточно долгим.

Руководитель научной группы «Доверенные и безопасные интеллектуальные системы» Института AIRI Олег Рогов, в свою очередь, рассказал, как будет развиваться ситуация в дальнейшем. По его словам, ближайшие дни уйдут на обновление серверов, затем могут появиться сайты, которые не обновились, и «по ним будет тянуться хвост взломов», как это было с Log4Shell в 2021 году.

«Эту уязвимость называли одной из самых опасных в истории интернета. Тогда программа для записи логов слепо выполняла скрытый в тексте вредоносный код, позволяя хакерам мгновенно захватывать контроль над серверами. Кейс затронул таких гигантов, как Apple, Amazon, Steam и iCloud. В интернете очень много заброшенных сайтов на старых версиях PHP, за которыми никто не следит», — рассказал Рогов.

При этом он отмечает, что менять протоколы безопасности не обязательно, поскольку уязвимость находится в интерпретаторе PHP, обрабатывающего запросы к сайту, а не в шифровании, TLS или в самих сертификатах.

«Сам по себе HTTPS здесь ни при чем, но есть важная оговорка — не обязательно тем, кого атаки не затронули. Если сайт успели взломать до обновления, то злоумышленник мог забрать с сервера закрытый ключ сертификата, пароли к базам данных, ключи API или какие-нибудь еще данные. В таком случае сертификат придется перевыпустить, а все пароли и ключи сменить», — добавил эксперт.

Когда сайты «включат обратно», все будет зависеть от того, «кто и на чем их держит». Если сервер находится на актуальной ветке PHP 8.2 или выше, обновление будет установлено за несколько минут, а на проверку сервера и следов взлома уйдет до 2-х недель. Больше времени потребуется тем сайтам, у кого PHP приходит из репозитория вендора операционной системы, поскольку им нужно ждать, пока репозиторий перенесет исправление в свою сборку.

«Тяжелее придется тем, чьи сайты работают PHP 7 или 5, так как для них исправлений нет, и им придется либо переезжать на новую версию, что может занять несколько недель, либо все время возвращать сайт за фильтрующим экраном и надеяться, что защиту не обойдут», — рассказал Рогов.

Он указал, что для обычных пользователей на работающих сайтов почти ничего не изменится. Где-то, по его словам, могут ужесточить ограничения на размер загружаемых файлов, либо установить дополнительные проверки при входе.

Ранее Малых сообщил РБК, что из-за обнаружения «дыры» в PHP под угрозой в России могут оказаться десятки тысяч сайтов. «Основная проблема заключается в том, что, как правило, на PHP уязвимости закрываются очень долго», — сказал эксперт.

Сегодня гендиректор Cloudflare Мэттью Принс сообщил, что компания зафиксировала миллионы попыток эксплуатации уязвимостей после сообщений об их обнаружении в языке программирования PHP.

Оставайтесь на связи с РБК в «Максе».