Безопасен ли интернет после кошмара PHP? Что нужно знать

Через день после того, как две ошибки в PHP заставили правительства в спешке отключать свои веб-сайты, исправление выпущено, атакующие продолжают наносить удары, и многие задаются одним и тем же вопросом: могу ли я пользоваться интернетом без опасений или мне стоит прятаться под кроватью до следующей недели?

Короткий ответ: интернет не сломался, и для большинства людей риск связан с веб-сайтами, которые они посещают, а не с их собственными телефонами или ноутбуками. Более длинный ответ содержит несколько оговорок, которые стоит знать.

Краткое напоминание: PHP — это программное обеспечение, которое работает за кулисами примерно на 70% веб-сайтов с известным серверным языком, и две уязвимости, получившие название PHP2Shell, позволяют постороннему получить контроль над уязвимым сервером без входа в систему.

Исправлено ли это?

Итак, исправлена ли уязвимость? Да, в основном. PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 в среду, согласно его примечаниям к выпуску. «Полных мер по смягчению последствий не существует, обновление — единственный безопасный выбор». По состоянию на четверг PHP не выпустил никаких последующих патчей.

Однако исправление помогает только после того, как кто-то его установит. PHP не обновляется сам, поэтому каждая хостинговая компания, ИТ-отдел и владелец отдельного веб-сайта должен применить его на своих серверах, а затем перезапустить программное обеспечение, чтобы оно вступило в силу.

Иными словами, исправление существует, но это не означает, что посещаемые вами сайты обязательно безопасны.

PHP 8.1 и более ранние версии больше не получают официальных выпусков, что делает старые серверы слабым местом, хотя команда безопасности PHP опубликовала минимальные патчи для 7.4, 8.0 и 8.1 для тех, кто компилирует программное обеспечение самостоятельно.

Кого-нибудь на самом деле взломали?

Атакующие, безусловно, пытались: генеральный директор Cloudflare Мэтью Принс заявил, что его сеть зафиксировала тысячи попыток эксплуатации за 10 часов до объявления, десятки тысяч за 45 минут после него, сотни тысяч в течение двух часов и миллионы с тех пор.

Amazon пошла дальше, заявив, что её серверы-приманки зафиксировали попытку 17 октября, за четыре дня до обнародования уязвимостей. «Остаётся неясным, как злоумышленник получил информацию об эксплойте до раскрытия», — написал директор по информационной безопасности Amazon Си Джей Мозес, добавив, что PHP2Shell «сейчас широко эксплуатируется в реальных условиях».

Однако правительства, похоже, пока не столкнулись с каким-либо успешным взломом. Томас Касперс, вице-президент Федерального ведомства по информационной безопасности Германии (BSI), заявил, что ведомство наблюдало атаки, но не успешное использование уязвимостей, добавив: «Эксплуатация, похоже, немного сложнее, чем ожидалось». Генеральный секретарь кабинета министров Японии Минору Кихара также заявил, что атак, эксплуатирующих эти уязвимости, не подтверждено.

Попытка — это когда кто-то дергает дверную ручку; взлом — это когда кто-то проникает внутрь, так что оба утверждения могут быть верны одновременно. Миллионы дернутых дверных ручек и ни одного подтвержденного проникновения — это хорошая новость, но проникновения обычно обнаруживаются позже, а не в реальном времени.

Почему это не было обнаружено раньше?

В некотором смысле было. В блог-посте, опубликованном в среду, PHP Foundation сообщил, что в ходе работ по безопасности в 2024 году были «обнаружены первые признаки проблемы OOM, лежащей в основе CVE-2026-109618», то есть ошибки нехватки памяти, лежащей в основе одной из двух уязвимостей.

Команда разработала «несколько конкурирующих подходов» к ее исправлению, но, по словам фонда, «испытывала трудности с выбором между ними и опасалась последствий выпуска неправильного варианта». «Без финансирования Фонда было бы невозможно, чтобы несколько человек работали над этой проблемой на постоянной основе», — добавили в нем.

«Мы не будем делать вид, что всё иначе: задержка стала структурным провалом, вызванным как процессом принятия решений командой безопасности, так и нехваткой её ресурсов», — написала организация, добавив, что её команда безопасности, которой раньше требовался консенсус, теперь будет принимать решения большинством голосов. Для программного обеспечения, на котором работает большая часть интернета, эта работа по безопасности «по-прежнему зависит от небольшой группы разработчиков, финансируемых фондом, и небольшой добровольной помощи», — говорится в публикации.

Почему некоторые сайты всё ещё недоступны?

Потому что установка исправлений требует времени, а «офлайн» был официальной рекомендацией для всех, кто не мог исправить проблему сразу. Национальный центр кибербезопасности Великобритании рекомендовал организациям рассмотреть возможность «отключения системы от сети до тех пор, пока её можно будет полностью защитить».

Список сайтов, которые отключились в среду, быстро вырос. Согласно TechRadar, в него вошли сервисы Wikimedia, сайты и приложения Orange в десятках стран, 32 государственных сервиса Великобритании, больницы Нидерландов и федеральный ИТ-провайдер Германии ITZBund.

Управление по бюджетной ответственности Великобритании и сайт городского совета Эдинбурга вернулись к работе к четвергу. Другие, например нидерландский сайт анонимных сообщений о преступлениях Meld Misdaad Anoniem, по данным DutchNews, всё ещё были недоступны утром в четверг.

Стоит ли мне менять пароли?

Не из-за этого, по крайней мере пока. На данный момент с PHP2Shell не связано ни одной подтверждённой утечки данных, и смена всех паролей сегодня не поможет, если сервер сайта всё ещё не пропатчен.

Что действительно помогает, так это скучные вещи: уникальные пароли для каждого аккаунта, включённая двухфакторная аутентификация и внимание, если в ближайшие недели какая-либо компания пришлёт вам письмо об утечке. Если такое произойдёт, смените этот пароль и пароль во всех аккаунтах, где вы его использовали повторно.

У владельцев сайтов больше работы, потому что установка исправлений закрывает дверь, но не сообщает, не вошёл ли кто-то раньше. Компания по безопасности Tag1 советует искать PHP-файлы, которые вы не загружали, новые запланированные задачи и новые учётные записи, а также сменить пароли к базам данных и API-ключи на любом подключённом к интернету сервере, на котором работала уязвимая версия.

А как насчёт криптовалют?

Основатель Binance Чанпэн Чжао дал короткий совет в X: «Можете считать меня параноиком, но будьте особенно осторожны при посещении ЛЮБОГО веб-сайта в ближайшие несколько дней».

Взломанный веб-сервер может показать вам поддельную версию настоящего сайта, а в криптовалюте это обычно означает страницу, которая просит вас подключить кошелёк и одобрить транзакцию, которая его опустошит. Сама блокчейн-сеть может быть в порядке; сайты перед ней — возможно, нет.

В ближайшие несколько дней трижды проверяйте, что вы подписываете, добавляйте в закладки сайты, которыми пользуетесь, вместо перехода по ссылкам и используйте аппаратный кошелёк, если он у вас есть. На данный момент ни одна криптовалютная биржа публично не сообщила о взломе, связанном с PHP2Shell.

Так это безопасно?

Просмотр веб-страниц сегодня примерно так же безопасен, как и на прошлой неделе, то есть не идеально. Реальная уязвимость находится на серверах, которые не были пропатчены, и компания по безопасности Mallory насчитала примерно 884 000 подключённых к интернету хостов, работающих на версиях PHP, для которых не выпускается официальных исправлений.

Совет Amazon специалистам по защите по сути сводится к тому, что это ещё не конец. «Специалисты по защите не должны предполагать, что дата публичного раскрытия является самой ранней датой эксплуатации». Любой сервер, на котором с как минимум 17 октября работала уязвимая версия, должен быть проверен, а не просто пропатчен.