Уязвимости PHP заставили отключать сайты по всему миру

Государственные сайты в разных странах начали временно отключать, а специалисты по кибербезопасности предупреждают об угрозе для миллионов интернет-ресурсов. Причина — две критические уязвимости в языке программирования PHP, на котором работает значительная часть интернета.

21 октября разработчики PHP выпустили экстренные обновления, закрывающие две серьёзные ошибки безопасности. Обе получили 9,2 балла из 10 по международной шкале критичности: при определённых условиях злоумышленник может проникнуть на сервер, даже не зная пароля.

Одну из уязвимостей выявили с помощью модели искусственного интеллекта GPT-5.6 Sol. После обнаружения ошибок в Европе временно отключили ряд сайтов государственных органов, больниц и других организаций. Приостановка работы ресурсов стала мерой предосторожности до устранения угрозы.

Агентство национальной безопасности США и премьер-министр Японии Санаэ Такаити призвали владельцев сайтов установить обновления, а если сделать это оперативно невозможно — временно ограничить доступ к ресурсам.

По данным Reuters, временно недоступными стали некоторые государственные веб-сервисы Финляндии и Чехии, сайты МИД Бельгии и Министерства финансов Японии. Превентивные меры приняли префектуры Франции, порт Роттердама, Футбольная ассоциация Нидерландов, политические партии и несколько больниц в этой стране. Часть систем временно закрыла Wikimedia Foundation, управляющая Wikipedia.

В Финляндии временно отключили сайты нескольких министерств, Национальной земельной службы и других организаций. Восстановление некоторых сервисов может занять несколько недель: специалисты должны убедиться, что системы работают безопасно.

Вечером 22 октября Национальный координационный центр по компьютерным инцидентам при ФСБ России предписал владельцам объектов критической информационной инфраструктуры временно ограничивать доступ к уязвимым сайтам вплоть до их полного отключения, если установить обновления безопасности PHP быстро не удаётся.

Согласно письму НКЦКИ, организации должны обновить PHP до исправленной версии, затем проверить серверы антивирусными средствами и изучить журналы событий на предмет возможного взлома. Если обновление не установить в короткие сроки, владельцам ресурсов предписано рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам вплоть до их отключения. О подозрительных инцидентах необходимо сообщать в дежурный центр государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).

Директива направлена владельцам объектов критической информационной инфраструктуры через ГосСОПКА. К этой категории относятся, в частности, информационные системы госорганов, а также компаний финансового сектора, энергетики, транспорта, связи и здравоохранения.

В России хостинг-провайдеры начали уведомлять клиентов о необходимости обновить PHP. Рекомендации также опубликовали «Лаборатория Касперского» и «1С-Битрикс». Технический директор Garda WAF Лука Сафонов отмечал, что из-за широкого распространения PHP уязвимости могут затронуть десятки или даже сотни тысяч российских интернет-ресурсов, и в ближайшее время стоит ждать существенного роста числа атак.

PHP — один из самых распространённых языков программирования. Он существует около 30 лет и помогает сайтам обрабатывать информацию, взаимодействовать с базами данных и решать множество других задач.

Обычный пользователь с PHP напрямую не сталкивается. Когда человек открывает интернет-магазин, читает новости или заходит в личный кабинет, часть необходимых операций может выполняться именно благодаря этому языку.

По данным исследовательской компании W3Techs на 23 октября, PHP используют примерно 69% сайтов, для которых удалось определить серверный язык программирования, и около 90% сайтов на русском языке. Именно поэтому обнаруженные ошибки вызвали такую тревогу.

Проблема связана с двумя ошибками в работе PHP с памятью. При определённом сочетании условий они позволяют злоумышленнику запустить на чужом сервере собственный программный код. В худшем случае хакер способен получить доступ к данным, изменить содержимое сайта, внедрить вредоносную программу или нарушить работу сервиса.

Опасность вполне реальна: специалисты Amazon зафиксировали попытки использования уязвимостей ещё 17 октября — за четыре дня до официального выхода исправлений. В дальнейшем число таких попыток выросло. При этом компания не установила, привели ли первые зафиксированные атаки к успешному взлому реальных систем.

Само по себе посещение сайта на PHP не означает, что злоумышленники получат доступ к вашему телефону или компьютеру. Обнаруженные ошибки затрагивают прежде всего серверы, на которых работают интернет-ресурсы. Однако при успешном взломе сервера под угрозой может оказаться информация, которую хранит сайт, в том числе персональные данные пользователей. Многое зависит от устройства конкретного ресурса, поэтому считать, что теперь любой сайт можно беспрепятственно взломать, было бы преувеличением.

Разработчики PHP уже подготовили исправления. Для современных и регулярно обслуживаемых ресурсов их установка иногда занимает считаные минуты. Гораздо сложнее владельцам старых сайтов: некоторые до сих пор используют версии PHP, которые разработчики перестали поддерживать. Чтобы устранить уязвимости, таким ресурсам приходится переходить на более современные версии языка.

Это способно нарушить работу сайта: отдельные программы и компоненты могут оказаться несовместимыми с обновлением. Поэтому специалистам необходимо проверить всю систему. Именно этим объясняются отключения в Финляндии: если быстро и безопасно обновить ресурс невозможно, иногда разумнее временно прекратить его работу.

Проблема касается и России: PHP используют сайты независимо от страны, где находятся их серверы. Под угрозой потенциально могут оказаться интернет-магазины, корпоративные ресурсы, информационные порталы и государственные сервисы, если они работают на уязвимых версиях языка. Достоверно оценить число таких сайтов в России пока невозможно: определить используемую версию PHP снаружи обычно нельзя.

Владельцам ресурсов необходимо проверить программное обеспечение и установить исправления. Если сайт работает на чужом хостинге, следует уточнить у провайдера, обновил ли он PHP. Эксперт также советует регулярно создавать резервные копии сайтов, а если обновить PHP немедленно невозможно, администраторам стоит рассмотреть временное ограничение доступа к уязвимому сервису.

Обычному пользователю самостоятельно обновлять ничего не требуется: за безопасность серверов отвечают владельцы сайтов и обслуживающие их специалисты. Впрочем, ситуация напоминает, почему важно не использовать один пароль для разных ресурсов и включать двухфакторную аутентификацию там, где она доступна. Даже если злоумышленники доберутся до данных одного сайта, эти меры помогут защитить остальные аккаунты.