21 октября 2026 года команда безопасности PHP выпустила экстренные исправления для двух критических уязвимостей, которые могут позволить злоумышленникам выполнять код на серверах веб-сайтов без необходимости входа в систему. Исправленные версии PHP включают 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Разработчики PHP подчеркивают, что обновление является единственным безопасным вариантом, поскольку ни одно из обходных решений не может полностью устранить эти уязвимости.
Уязвимости и риски
Все установки PHP, обрабатывающие запросы к веб-сайтам, находятся под угрозой. Наибольший риск представляют серверы Apache, использующие mod_php, так как PHP выполняется непосредственно внутри Apache. Злоумышленники могут запустить атаку до того, как начнется выполнение кода самого веб-сайта. Это особенно важно для сайтов, работающих на WordPress, так как обновление WordPress или его плагинов не обновляет PHP. Важно обратиться к вашему хостинг-провайдеру с просьбой установить исправление.
Обновление PHP: что нужно сделать
Если ваш хостинг позволяет переключать версии PHP через cPanel, убедитесь, что выбранная вами версия включает исправления. Для пользователей PHP 8.1 и более ранних версий, которые больше не получают регулярные обновления, PHP предоставил ограниченные исправления исходного кода для версий 7.4, 8.0 и 8.1 для команд, которые собирают PHP самостоятельно. Хостинг-провайдеры и поставщики долгосрочной поддержки также могут предложить свои обновления, однако эти исправления не восстанавливают регулярную поддержку.
Предостережения и меры предосторожности
Перед выпуском исправлений международные кибериздания сообщили о том, что сайты правительства Нидерландов, финские государственные веб-сервисы и университетские сайты были отключены в качестве меры предосторожности. Например, финские отключения были описаны как предостережение, а не как результат взлома. В связи с этим CERT-EU и Национальный центр кибербезопасности Великобритании рекомендовали временно изолировать или отключить сайты, если немедленная защита была невозможна.
Что делать владельцам сайтов
1. Проверьте версию PHP, следуя руководству WordPress: откройте "Инструменты" > "Состояние сайта", выберите "Информация" и разверните раздел "Сервер".
2. Попросите вашего хостинг-провайдера установить одну из исправленных версий или подтвердить, что обновление PHP включает оба исправления.
3. Если вы используете PHP 8.1 или более раннюю версию, создайте резервную копию сайта и организуйте обновление.
4. Обсудите с вашим хостингом возможность применения временного исправления от поставщика.
5. Если немедленное исправление невозможно, обсудите возможность отключения затронутого сайта до обновления.
Использование веб-аппликационного фаервола (WAF), такого как Cloudflare, может блокировать некоторые попытки атак, но это не заменяет установку исправлений. Если вы решите отключить сайт для обновления PHP, попросите хостинг-провайдера показать страницу обслуживания с ответом HTTP 503 (Сервис недоступен), что сигнализирует о временном отключении.
Подготовка к будущим уязвимостям
Как я предсказывал в августе, когда писал о том, как ИИ меняет безопасность веб-сайтов, злоумышленники могут действовать быстрее, чем разработчики программного обеспечения могут предоставить исправления. Сообщения о появлении инструмента атаки до выпуска исправления PHP уже подтверждают эту проблему. Исправление доступно, но оно защитит ваш сайт только после установки. Существующая компрометация может привести к утечке данных клиентов и ухудшению видимости в поисковых системах. Попросите вашу техническую команду провести аудит кода и следить за подозрительной активностью.
Согласуйте с вашим хостингом, кто будет применять экстренные исправления или отключать затронутый сайт, если его нельзя защитить. Злоумышленники могут использовать модели ИИ без цензуры, что дает им доступ к более мощным инструментам для поиска и эксплуатации уязвимостей. Ожидается, что серьезные уязвимости будут выявляться все чаще, и владельцам сайтов будет предоставлено меньше времени для реагирования. Подготовка к этому темпу становится частью защиты вашего сайта и его видимости в поисковых системах.