Критические уязвимости PHP вызвали предупреждения в ЕС и США, европейские сайты отключаются
Коротко
Две уязвимости в языке программирования PHP, каждая с оценкой 9,2 из 10, позволяют злоумышленникам выполнять код на серверах без входа в систему. PHP выпустил исправления 21 октября, на день раньше запланированного срока, а власти ЕС и США призвали операторов обновиться или отключить сайты, при этом некоторые сайты европейских правительств были заблокированы.
Читать полностью 2 мин чтения
Критическая уязвимость безопасности в языке программирования PHP вызвала предупреждения в нескольких странах, сообщили корейские издания 21 и 22 октября. PHP объявил, что выпустит патчи безопасности для двух уязвимостей в 23:00 по корейскому времени 21 октября. Он сообщил, что каждая из них получила оценку 9,2 из 10 по стандарту CVSS v4.0, и настоятельно призвал пользователей обновиться сразу после выхода патчей. Chosun Ilbo сообщила, что разработчики выпустили экстренное исправление 21 октября по местному времени. [ 1 , 2 , 3 , 7 , 9 ]
Уязвимости, получившие название PHP2Shell, позволяют выполнять команды на сервере без учетной записи и пароля, сообщает AI Times. Управление кибербезопасности ЕС в уведомлении, выпущенном 20 октября, заявило, что оценка указывает на возможность удаленного выполнения кода без аутентификации. Хостинг-компания GoDaddy предупредила, что это может привести к краже данных, изменению внешнего вида сайтов или полному захвату системы. CERT-EU заявил, что пользователям следует быть готовыми к немедленному обновлению и рассмотреть возможность отключения сайтов, если патч нельзя применить, сообщило Reuters. [ 1 , 9 ]
В США Агентство национальной безопасности заявило в X, что все ведомства и компании, использующие PHP, должны подготовиться к обновлению и, если не могут сделать это немедленно, отключить системы до полного устранения уязвимости, сообщила Asia Economy со ссылкой на Wall Street Journal. ФБР также призвало операторов, которые не могут обновиться сразу, отключить сайты. AI Times сообщил, что правительство США помогает федеральным ведомствам и объектам критической инфраструктуры установить патч совместно с технологическими компаниями. [ 6 , 9 , 10 ]
В Европе сайты отключили в качестве меры предосторожности. AI Times сообщил, что в Нидерландах пострадали государственный портал, порт Роттердама, футбольная ассоциация, крупные политические партии и несколько больниц. Более 100 муниципалитетов, региональных властей и водохозяйственных служб, использующих услуги одного поставщика программного обеспечения, также были затронуты, со ссылкой на информагентство ANP. Дания, Финляндия, Германия и Франция временно заблокировали государственные сайты. Германия и Финляндия назвали эти меры превентивными, а Финляндия заявила, что не фиксирует попыток эксплуатации или утечки данных. Asia Economy добавила Бельгию и Чехию. [ 9 , 10 ]
По данным AI Times, Calif использовала GPT-5.6 Sol от OpenAI для поиска уязвимости и сообщила о ней в августе. Wiz, по данным AI Times, являющаяся подразделением Alphabet, подтвердила ее независимо с помощью собственных инструментов ИИ, Gemini 4 Argon от Google и GPT-5.6 Sol. Wiz заявила, что уязвимость существовала в коде PHP более десяти лет. Соучредитель Wiz сообщил Wall Street Journal, что это самая серьезная уязвимость, найденная ИИ на сегодняшний день. Фонд PHP Foundation заявил, что в 2024 году видел признаки одной уязвимости, но не смог определить путь атаки, и назвал это структурным сбоем. [ 7 , 9 ]
Разработчики PHP перенесли выпуск на день раньше после того, как подробности уязвимостей утекли в интернет. Reuters сообщило о беспокойстве, что хакеры могут использовать ИИ для анализа исправления и быстро выяснить методы атаки до завершения обновлений. Cloudflare сообщила, что зафиксировала некоторые первые попытки, а CISA на момент публикации AI Times не подтвердила эксплуатацию. Chosun Ilbo сообщила, что обычным пользователям ничего устанавливать не нужно, и что разработчики PHP заявили: одного лишь изменения некоторых настроек недостаточно для полного решения проблемы. [ 7 , 9 ]
Почему это важно
По данным AI Times, PHP используется примерно на 70% сайтов, для которых удалось определить серверный язык, поэтому одна уязвимость может сразу открыть доступ к многим сайтам. Издания отмечают, что само исправление может помочь злоумышленникам, поэтому важна скорость, с которой операторы выполнят обновление.
Ключевые факты
- PHP сообщил, что выпустит патчи безопасности для двух уязвимостей в 23:00 по корейскому времени 21 октября; каждая из них получила оценку 9,2 из 10 по шкале CVSS v4.0. [ 1 ]
- Уязвимости, получившие название PHP2Shell, позволяют выполнять команды на сервере без учетной записи и пароля, сообщает AI Times. [ 9 ]
- CERT-EU и управление кибербезопасности ЕС призвали подготовиться к немедленному обновлению и отключить уязвимые сайты, если обновление нельзя применить. [ 1 ]
- Агентство национальной безопасности США (NSA) и ФБР призвали операторов, которые не могут немедленно обновиться, отключить системы, сообщает Asia Economy со ссылкой на Wall Street Journal. [ 10 ]
- Сайты правительственных и других учреждений в Нидерландах, Дании, Финляндии, Германии и Франции были отключены или заблокированы, сообщает AI Times. [ 9 ]
- Компания по безопасности Calif обнаружила уязвимость с помощью GPT-5.6 Sol от OpenAI и сообщила о ней разработчикам; Wiz, компания по безопасности, связанная с Google, нашла ее независимо. [ 7 , 9 ]
- Разработчики PHP перенесли выпуск с 22 октября на 21 октября после того, как информация об уязвимостях утекла в интернет. [ 7 , 9 , 10 ]
Подтверждено несколькими источниками
- Разработчики PHP выпустили исправление безопасности 21 октября, на день раньше запланированной даты 22 октября. [ 7 , 9 , 10 ]
- Уязвимость позволяет злоумышленнику выполнить вредоносный код на сервере без входа в систему. [ 1 , 7 , 9 , 10 ]
- Власти ЕС и США призвали операторов, которые не могут немедленно обновиться, отключить затронутые системы. [ 1 , 6 , 10 ]
- Некоторые сайты европейских правительств были отключены или заблокированы в качестве меры предосторожности на время установки обновлений. [ 4 , 7 , 9 , 10 ]
- Calif обнаружила уязвимость с помощью GPT-5.6 Sol от OpenAI, а Wiz нашла ее независимо. [ 7 , 9 , 10 ]
Пока неясно
- Какая доля сайтов использует PHP. В материалах Yonhap приводятся «до 70%», «более 70%» и «более 75%»; AI Times пишет, что примерно 70% сайтов, для которых можно определить серверный язык; Asia Economy называет 70%.
- Используются ли уязвимости злоумышленниками и какой ущерб нанесен. Cloudflare сообщила, что зафиксировала некоторые первые попытки, а Asia Economy писала о некоторых попытках взлома, однако CISA не подтвердила эксплуатацию на момент публикации AI Times, а сам AI Times отмечает, что масштаб любых проникновений или утечек данных пока не подтвержден.
- Техническая причина уязвимости. Chosun Ilbo описывает ее как ошибку при обработке запроса посетителя; Asia Economy говорит, что она возникает в работе PHP с памятью.
- Как информация утекла до запланированного выпуска. Chosun Ilbo со ссылкой на SecurityWeek сообщает, что информация появилась в интернете 20 октября; AI Times пишет, что подробности и видео с демонстрацией атаки были опубликованы заранее; в заголовке Yonhap упоминается спор об утечке патча с участием некоторых дистрибьюторов, но в материалах нет подробностей.
Что пишут местные СМИ
Хронология, местное время
- Yonhap сообщила о предупреждении ЕС и рекомендации CERT-EU быть готовыми к обновлению или отключению сайтов. [ 1 ]
- Время по корейскому времени, когда PHP сообщил о выпуске патчей для двух уязвимостей. [ 1 ]
- Yonhap сообщила, что крупные европейские государственные учреждения заблокировали доступ. [ 4 ]
- Yonhap сообщила, что США призвали операторов отключиться, если они не могут немедленно обновиться. [ 6 ]
- Chosun Ilbo сообщила, что разработчики PHP выпустили экстренное исправление 21 октября по местному времени. [ 7 ]