Дупка в PHP се експлоатира: провери версията на сайта си днес

Накратко

Две критични дупки в самия PHP, наречени PHP2Shell, позволяват на нападател да изпълнява код на сървъра без парола. И двете са оценени на 9,2 от 10.
CISA ги добави към списъка с активно експлоатирани уязвимости на 26 октомври. Поправените версии са 8.5.12, 8.4.27, 8.3.36 и 8.2.35, излезли на 21 октомври.
Парите: обновяването отнема минути. Хакнат магазин струва дни продажби плюс почистване.

Сайтът ти работи на PHP. Така са WordPress, Joomla, Drupal и Magento. Ако не си проверявал PHP версията тази седмица, провери я днес.

Какво се случи

PHP2Shell е двойка дупки в ядрото на PHP: CVE-2026-109618 и CVE-2026-109619. Първата е повреда на паметта, когато сървърът стигне лимита си по време на заявка. Втората е use-after-free, която по-късна заявка може да използва. И двете могат да дадат на нападател без вход дистанционно изпълнение на код. Екипът за сигурност на PHP оценява и двете на 9,2.

Хронологията е кратка. Amazon засича първия опит за експлоатиране на 17 октомври, четири дни преди обнародването. PHP издаде поправки на 21 октомври. На 26 октомври CISA добави двата CVE към каталога Known Exploited Vulnerabilities, с краен срок 29 октомври за федералните агенции в САЩ. CISA призовава и всички останали да обновят.

Колко лошо е наистина? Източниците се разминават в подробностите, затова ето това, което е сигурно. Изследовател от Perplexity докладва за 35 успешни изпълнения на команди върху honeypot сървъри с PHP 8.4.26 и предупреждава, че настройката му е благоприятна за атаката. Delft University е проследил над 50 000 заявки за експлоатация от над 600 IP адреса в 70 държави. В същото време Sophos коригира оценката си и каза, че голяма част от активността е сканиране и неуспешни опити, а Palo Alto Networks свали връзката с пробив в европейска държавна агенция. Истински атаки, но засега не масово пробиване.

Данни на Censys, цитирани от Cybernews, показват 32,5 милиона PHP услуги с уязвими версии, 11,2 милиона вече са обновени, а над 60 милиона не казват версия.

Как да го използваш

Намери версията. Във WordPress отвори Tools, Site Health, Info, Server. Или провери PHP настройката в панела на хостинга.
Сравни с поправените версии. 8.5.12, 8.4.27, 8.3.36, 8.2.35 или по-нови в съответния клон. PHP 7.3 и по-стари нямат поправка изобщо. 7.4 до 8.1 също нямат официална версия.
Обнови, после рестартирай PHP. Нов пакет не поправя вече стартиралите процеси.
В споделен хостинг питай доставчика. Едно съобщение: „Поправен ли е PHP2Shell на пакета ми?“
Погледни логовете. Странни заявки за качване и неочаквани файлове в папката с PHP сесиите са сигнал.

Едно предупреждение: PHP 8.4.27 и 8.5.12 имат позната регресия, която може да срива някои приложения с SimpleXML. Поправка е приета, но към 26 октомври не е излезла. Тествай след обновяването.

Сметката: да кажем, че онлайн магазинът ти прави €300 на ден. Хакнат сайт, който е спрян 3 дни, струва €900 загубени продажби. Прибави €500 за фрийлансър, който да го почисти. Това са €1 400. Обновяването отнема може би 15 минути. Числата са мои примерни, не прогноза.

Какво означава

Прозорецът между поправка и реални атаки се стрива. Тук атаките започнаха, преди да съществува поправката. Милиони сървъри все още са необновени и нападателите това знаят. Ако поддържаш клиентски сайтове или магазини, кратката проверка на версията вече е част от работата.

Мнението на Иван

Не е AI история, но може да струва на бизнеса ти повече от всяка AI новина тази седмица. Проверих AI Rush X: работи на PHP 8.3.36, поправената версия. Направи същото днес за всеки сайт, който имаш. Петнадесет минути срещу цяла седмица проблеми.

Източници: The Register · Tenable · Cybernews

За автора

Ivan Ivanov

Основател на