Эксперт: владельцам сайтов нужно срочно проверить PHP

Красноярский специалист по кибербезопасности Денис Якунин призвал владельцев сайтов срочно выяснить у своих программистов, обновлён ли на сервере PHP. Об этом он заявил в видеообращении.

В самом языке PHP обнаружили две уязвимости, которые позволяют взломать сайт без логина и пароля. Разработчики выпустили исправления 21 октября внеочередным обновлением. Обе уязвимости получили по 9,2 балла из 10 по шкале CVSS — это критический уровень угрозы. Уязвимыми оказались сайты по всему миру.

PHP — язык программирования, на котором работают многие сайты и интернет-магазины, в том числе на WordPress и «1С-Битриксе». Изначально его название расшифровывалось как Personal Home Page («личная домашняя страница»), сейчас официальная расшифровка другая — Hypertext Preprocessor.

Поскольку уязвимости нашли в самом языке, под угрозой любой сайт на PHP, на каком бы движке он ни был сделан. Злоумышленник может запускать на сервере свои команды, например выгрузить базу клиентов или встроить в сайт вредоносный код.

«Если у вас есть сайт, срочно сегодня звоните своему айтишнику. Если ваш айтишник сказал, что ваш сайт защищен, проверьте, задайте ему три вопроса. Первый: наш сайт работает на PHP? Второй: какая версия установлена? И третий: закрыта ли вчерашняя уязвимость? И потребуйте подтверждения обновления», — говорит он.

Исправленные версии PHP — 8.5.12, 8.4.27, 8.3.36, 8.2.35 и все более новые. Для старых версий официальных обновлений не будет, и их, скорее всего, придётся менять на новый PHP.

В подписи к ролику Якунин отдельно написал про обновление самих сайтов: «Если вам говорят „у нас обновлен WordPress“ — этого недостаточно. PHP обновляется отдельно».

С сайтами на «Битриксе» ситуация аналогичная. В компании пояснили, что обновление их продукта не заменяет обновление PHP на сервере.

На обычном хостинге версию PHP видно в панели управления. Многие хостинг-провайдеры могли уже установить исправления сами, но проверить это всё равно нужно. Переписывать сайт, по словам Якунина, обычно не требуется. А если сайт долго работал на старой версии, его лучше проверить ещё и на следы взлома.

Ранее, в конце августа, Якунин в колонке рассказывал, что после обнаружения уязвимостей хакеры стали быстрее начинать атаки. А в октябре в интервью он объяснил, кто может прочитать вашу переписку с нейросетью.