Уязвимости PHP заставили отключать сайты по всему миру

Государственные сайты в разных странах начали временно отключать, а специалисты по кибербезопасности предупреждают об угрозе для миллионов интернет-ресурсов. Причиной стали две критические уязвимости в языке программирования PHP, на котором работает значительная часть интернета.

21 октября разработчики PHP выпустили экстренные обновления, закрывающие две серьёзные ошибки в безопасности. Обе получили 9,2 балла из 10 по международной шкале критичности: при определённых условиях злоумышленники могут проникнуть на сервер, даже не зная пароля. Одну из уязвимостей выявили с помощью модели искусственного интеллекта GPT-5.6 Sol.

В Европе после обнаружения ошибок временно отключили сайты ряда госорганов, больниц и других организаций. Приостановка работы ресурсов стала мерой предосторожности до устранения угрозы. Агентство национальной безопасности США и премьер-министр Японии Санаэ Такаити призвали владельцев сайтов установить обновления, а если сделать это оперативно нельзя — временно ограничить доступ к ресурсам.

По данным Reuters, временно недоступными стали некоторые государственные веб-сервисы Финляндии и Чехии, сайты МИД Бельгии и Министерства финансов Японии. Превентивные меры приняли префектуры Франции, порт Роттердама, Футбольная ассоциация Нидерландов, политические партии и несколько больниц в этой стране. Часть систем временно закрыла Wikimedia Foundation, управляющая Wikipedia.

В Финляндии временно отключили сайты нескольких министерств, Национальной земельной службы и других организаций. Восстановление некоторых сервисов может занять несколько недель: специалисты должны убедиться, что системы работают безопасно.

Вечером 22 октября Национальный координационный центр по компьютерным инцидентам при ФСБ России предписал владельцам объектов критической информационной инфраструктуры временно ограничивать доступ к уязвимым сайтам вплоть до полного отключения, если обновления безопасности PHP нельзя установить быстро.

Согласно письму НКЦКИ, организации должны обновить PHP до исправленной версии, проверить серверы антивирусными средствами и изучить журналы событий на предмет возможного взлома. Если установить обновление в короткие сроки не удаётся, владельцам ресурсов предписано рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам вплоть до их отключения. О подозрительных инцидентах необходимо сообщать в дежурный центр ГосСОПКА.

Директива направлена владельцам объектов критической информационной инфраструктуры через ГосСОПКА. К этой категории относятся, в частности, информационные системы госорганов, а также компаний финансового сектора, энергетики, транспорта, связи и здравоохранения, сообщает РБК.

В России хостинг-провайдеры начали уведомлять клиентов о необходимости обновить PHP. Рекомендации также опубликовали «Лаборатория Касперского» и «1С-Битрикс». Технический директор Garda WAF Лука Сафонов в комментарии РБК отмечал, что из-за широкого распространения PHP уязвимости могут затронуть десятки или даже сотни тысяч российских интернет-ресурсов, и в ближайшее время можно ожидать существенного роста числа атак.

PHP — один из самых распространённых языков программирования. Ему около 30 лет, он помогает сайтам обрабатывать информацию, взаимодействовать с базами данных и выполнять множество других задач. Обычный пользователь с PHP напрямую не сталкивается: когда человек открывает интернет-магазин, читает новости или заходит в личный кабинет, часть необходимых операций может выполняться именно благодаря этому языку.

По данным исследовательской компании W3Techs на 23 октября, PHP используют примерно 69% сайтов, для которых удалось определить серверный язык программирования, и около 90% сайтов на русском языке. Именно поэтому обнаруженные ошибки вызвали такую тревогу.

Проблема связана с двумя ошибками в работе PHP с памятью. При определённом сочетании условий они позволяют злоумышленнику запустить на чужом сервере собственный программный код. В худшем случае хакер способен получить доступ к данным, изменить содержимое сайта, внедрить вредоносную программу или нарушить работу сервиса.

Опасность вполне реальна. Специалисты Amazon зафиксировали попытки использования уязвимостей ещё 17 октября — за четыре дня до официального выхода исправлений. В дальнейшем количество подобных попыток увеличилось. При этом компания не установила, привели ли первые зафиксированные атаки к успешному взлому реальных систем.

Само по себе посещение сайта, использующего PHP, не означает, что злоумышленники получат доступ к вашему телефону или компьютеру. Обнаруженные ошибки затрагивают прежде всего серверы, на которых работают интернет-ресурсы. Однако при успешном взломе сервера под угрозой может оказаться информация, которую хранит сайт, в том числе персональные данные пользователей. Многое зависит от устройства конкретного ресурса, поэтому считать, что теперь любой сайт можно беспрепятственно взломать, было бы преувеличением.

Разработчики PHP уже подготовили исправления. Для современных и регулярно обслуживаемых ресурсов их установка иногда занимает считаные минуты. Гораздо сложнее приходится владельцам старых сайтов: некоторые до сих пор используют версии PHP, которые разработчики перестали поддерживать. Чтобы устранить уязвимости, таким ресурсам приходится переходить на более современные версии языка.

Это способно нарушить работу сайта: отдельные программы и компоненты могут оказаться несовместимыми с обновлением. Поэтому специалистам необходимо проверить всю систему. Именно этим Удальцов объясняет отключения в Финляндии: если быстро и безопасно обновить ресурс невозможно, иногда разумнее временно прекратить его работу.

Проблема касается и России. PHP используют сайты независимо от страны, в которой находятся их серверы. Под угрозой потенциально могут оказаться интернет-магазины, корпоративные ресурсы, информационные порталы и государственные сервисы, если они работают на уязвимых версиях языка. Однако достоверно оценить число таких сайтов в России пока невозможно: по словам Удальцова, определить используемую версию PHP снаружи обычно нельзя.

Владельцам ресурсов необходимо проверить программное обеспечение и установить исправления. Если сайт работает на чужом хостинге, следует уточнить у провайдера, обновил ли он PHP. Эксперт также советует регулярно создавать резервные копии сайтов, а если обновить PHP немедленно невозможно, администраторам стоит рассмотреть временное ограничение доступа к уязвимому сервису.

Обычному пользователю самостоятельно обновлять ничего не требуется: за безопасность серверов отвечают владельцы сайтов и обслуживающие их специалисты. Впрочем, нынешняя ситуация ещё раз напоминает, почему важно не использовать один пароль для разных ресурсов и включать двухфакторную аутентификацию там, где она доступна. Даже если злоумышленники доберутся до данных одного сайта, эти меры помогут защитить остальные аккаунты.