Главное в материале

  • Уязвимость «PHP2Shell» позволяет удалённое выполнение кода без логина и пароля из-за ошибок в коде и управлении памятью
  • ФБР и АНБ США предупредили о новых уязвимостях; Нидерланды и Франция отключили часть госсайтов
  • Официальный патч выпущен, но организациям нужно самим найти затронутые системы и обновить PHP

Критические уязвимости в PHP

В широко используемом языке программирования PHP обнаружены две критические уязвимости, затрагивающие цифровую инфраструктуру по всему миру, что побудило организации в разных странах устанавливать обновления. Уязвимость, получившая название «PHP2Shell», связана с ошибками в коде и управлении памятью и позволяет выполнять код удалённо на скомпрометированных системах без ввода имени пользователя или пароля.

Реакция властей разных стран

Федеральное бюро расследований (ФБР) и Агентство национальной безопасности (АНБ) США предупредили общественность о newly обнаруженных уязвимостях. В Нидерландах были отключены сайты, предоставляющие услуги по вопросам гражданства, во Франции на повестке вышли аналогичные меры в отношении сайтов префектур. Дания, Норвегия, Финляндия, Япония и Южная Корея объявили кибер-тревоги и провели немедленные обновления.

Меры в Турции

Директорат по кибербезопасности Турции поручил государственным учреждениям и частным организациям перевести свою PHP-инфраструктуру на защищённые версии; по всей стране ведутся проверки безопасности и технический мониторинг. По данным властей, проверка государственного портала e-Government не выявила проблем, ставящих под угрозу безопасность предоставляемых цифровых услуг.

Оценка рисков и рекомендации

Эти уязвимости представляют теоретический риск для сайтов, содержащих чувствительную информацию, и само их наличие не обязательно означает, что персональные данные были скомпрометированы. Эксперты призвали обычных пользователей соблюдать базовые меры цифровой безопасности, а бизнесу и учреждениям — определить, какие внутренние системы используют PHP и какая версия активна. Официальный патч уже выпущен, однако выявление затронутых систем и обновление PHP до защищённой версии остаются задачей самих организаций. Эксперты также рекомендовали блокировать весь международный веб-трафик к внутренним системам и корпоративным приложениям, не требующим глобального доступа, и разрешать трафик только с доверенных и авторизованных IP-адресов.