Чи безпечний інтернет після PHP-кошмару? Що потрібно знати

Через день після того, як дві помилки в PHP змусили уряди поспіхом відключати свої вебсайти, виправлення вийшло, зловмисники продовжують завдавати ударів, і багато людей запитують одне й те саме: чи можу я користуватися інтернетом без хвилювання, чи мені слід ховатися під ліжком до наступного тижня?

Коротка відповідь: інтернет не зламався, і для більшості людей ризик стосується вебсайтів, які вони відвідують, а не їхніх власних телефонів чи ноутбуків. Довша відповідь має кілька застережень, які варто знати.

Короткий огляд: PHP — це програмне забезпечення, яке працює за лаштунками приблизно 70% вебсайтів із відомою серверною мовою, і дві вразливості, що отримали назву PHP2Shell, дозволяють сторонній особі взяти під контроль уразливий сервер без входу в систему.

Чи виправлено це?

Отже, чи виправлено експлойт? Так, переважно. PHP випустила версії 8.5.12, 8.4.27, 8.3.36 і 8.2.35 у середу, згідно з її примітками до випуску. "Повних способів пом'якшення немає, оновлення — єдиний безпечний вибір." Станом на четвер PHP не випустила жодного додаткового патча.

Однак виправлення допомагає лише після того, як хтось його встановить. PHP не оновлюється самостійно, тому кожна хостингова компанія, ІТ-відділ і власник окремого вебсайту має застосувати його на своїх серверах, а потім перезапустити програмне забезпечення, щоб воно набуло чинності.

Іншими словами, виправлення вже є, але це не означає, що сайти, які ви відвідуєте, обов'язково безпечні.

PHP 8.1 і раніші версії більше не отримують офіційних випусків, що робить старіші сервери слабким місцем, хоча команда безпеки PHP опублікувала мінімальні патчі для 7.4, 8.0 і 8.1 для тих, хто компілює програмне забезпечення самостійно.

Чи когось насправді зламали?

Зловмисники, безумовно, намагалися: генеральний директор Cloudflare Метью Прінс заявив, що його мережа зафіксувала тисячі спроб експлуатації за 10 годин до оголошення, десятки тисяч за 45 хвилин після нього, сотні тисяч протягом двох годин і мільйони з того часу.

Amazon пішов далі, заявивши, що його сервери-приманки зафіксували спробу 17 жовтня, за чотири дні до публічного розкриття вразливостей. «Залишається незрозумілим, як зловмисник отримав інформацію про експлойт до розкриття», — написав директор з інформаційної безпеки Amazon CJ Moses, додавши, що PHP2Shell «тепер широко експлуатується в реальних умовах».

Однак уряди, схоже, ще не зазнали жодного успішного злому. Томас Касперс, віцепрезидент Федерального відомства з інформаційної безпеки Німеччини BSI, сказав, що відомство бачило атаки, але не успішне використання цих вразливостей, додавши: «Експлуатація, схоже, трохи складніша, ніж очікувалося». Генеральний секретар Кабінету міністрів Японії Мінору Кіхара також заявив, що атак, які використовують ці вразливості, не підтверджено.

Спроба — це коли хтось смикає дверну ручку; злам — це коли хтось потрапляє всередину, тож обидва твердження можуть бути правдивими одночасно. Мільйони смикнутих дверних ручок і жодного підтвердженого зламу — це добра новина, але злами зазвичай виявляються пізніше, а не в реальному часі.

Чому це не було виявлено раніше?

Певною мірою це було виявлено. У дописі в блозі, опублікованому в середу, PHP Foundation заявила, що її робота з безпеки у 2024 році «виявила перші ознаки проблеми OOM, що стоїть за CVE-2026-109618», тобто помилки вичерпання пам'яті, яка лежить в основі однієї з двох уразливостей.

Команда розробила «кілька конкуруючих підходів» для її виправлення, але «вагалася у виборі між ними та побоювалася наслідків випуску неправильного варіанту», за словами фонду. «Без фінансування Фонду було б неможливо, щоб кілька людей працювали над цією проблемою повний робочий день», — додали в ньому.

«Ми не будемо вдавати інше: затримка була структурною невдачею, спричиненою як процесом прийняття рішень командою безпеки, так і браком її ресурсів», — написав фонд, додавши, що його команда безпеки, яка раніше потребувала консенсусу, тепер вирішуватиме більшістю голосів. Для програмного забезпечення, на якому працює більшість вебу, ця робота з безпеки «досі залежить від невеликої групи розробників, яких фінансує фонд, і трохи волонтерської допомоги», — йдеться в публікації.

Чому деякі вебсайти досі не працюють?

Тому що виправлення потребують часу, а «офлайн» була офіційною порадою для всіх, хто не міг виправити негайно. Національний центр кібербезпеки Великої Британії порадив організаціям розглянути можливість «вимкнути систему доти, доки її не буде повністю захищено».

Список сайтів, які вийшли з ладу в середу, швидко зростав. За даними TechRadar, до нього увійшли сервіси Wikimedia, вебсайти та застосунки Orange у десятках країн, 32 державні сервіси Великої Британії, нідерландські лікарні та федеральний ІТ-провайдер Німеччини ITZBund.

Управління з питань бюджетної відповідальності Великої Британії та вебсайт ради Единбурга відновили роботу до четверга. Інші, як-от нідерландський сайт анонімних повідомлень про злочини Meld Misdaad Anoniem, за даними DutchNews, усе ще не працювали вранці в четвер.

Чи варто мені змінювати паролі?

Не через це, принаймні поки що. Наразі жодного підтвердженого витоку даних не пов'язано з PHP2Shell, і зміна всіх паролів сьогодні не допоможе, якщо сервер сайту досі не виправлено.

Що допомагає, то це нудні речі: унікальні паролі для кожного облікового запису, увімкнена двофакторна автентифікація та уважність, якщо компанія надішле вам електронного листа про витік у найближчі тижні. Якщо такий лист надійде, змініть той пароль і будь-який обліковий запис, де ви його повторно використовували.

У власників вебсайтів більше роботи, адже виправлення закривають двері, але не повідомляють, чи хтось увійшов раніше. Компанія з безпеки Tag1 радить шукати PHP-файли, які ви не завантажували, нові заплановані завдання та нові облікові записи, а також змінювати паролі до баз даних і API-ключі на будь-якому сервері, підключеному до інтернету, який працював на уразливій версії.

А що щодо криптовалют?

Засновник Binance Чанпен Чжао мав коротку пораду в X: «Можете вважати мене параноїком, але будьте особливо обережні, відвідуючи БУДЬ-ЯКИЙ вебсайт у найближчі кілька днів».

Зламаний веб-сервер може показати вам підроблену версію справжнього сайту, а в криптосфері це зазвичай означає сторінку, яка просить вас підключити гаманець і схвалити транзакцію, що його спорожнить. Сама блокчейн-мережа може бути в порядку; а от веб-сайти перед нею — можливо, ні.

Протягом наступних кількох днів тричі перевіряйте, що ви підписуєте, додавайте сайти, якими користуєтеся, до закладок замість переходу за посиланнями та використовуйте апаратний гаманець, якщо він у вас є. Наразі жодна криптобіржа публічно не повідомила про злом, пов'язаний із PHP2Shell.

То це безпечно?

Перегляд веб-сторінок сьогодні приблизно настільки ж безпечний, як і минулого тижня, тобто не ідеально. Справжня вразливість — на серверах, які не отримали патчів, і компанія з безпеки Mallory нарахувала приблизно 884 000 підключених до інтернету хостів, які працюють на версіях PHP, що не отримують офіційних виправлень.

Порада Amazon для захисників по суті зводиться до того, що це ще не закінчено. «Захисники не повинні припускати, що дата публічного розкриття є найранішою датою експлуатації». Будь-який сервер, який працював на вразливій версії принаймні з 17 жовтня, слід перевірити, а не лише пропатчити.