Красноярский эксперт призвал срочно обновить PHP на сайтах
Владельцам сайтов нужно срочно узнать у своего программиста, обновлена ли на сервере версия PHP. Об этом предупредил красноярский специалист по кибербезопасности Денис Якунин, записав обращение на видео.
В PHP нашли две уязвимости, через которые сайт можно взломать без логина и пароля. Разработчики выпустили исправления 21 октября внеочередным обновлением. Обе уязвимости получили по 9,2 балла из 10 по шкале CVSS — это критический уровень угрозы. Уязвимыми оказались сайты по всему миру.
PHP — язык программирования, на котором работают многие сайты и интернет-магазины, в том числе на WordPress и «1С-Битриксе». Уязвимости нашли в самом языке, поэтому под угрозой любой сайт на PHP независимо от движка. Злоумышленник может запускать на сервере свои команды, например выгрузить базу клиентов или встроить в сайт вредоносный код.
Якунин советует задать айтишнику три вопроса: работает ли сайт на PHP, какая версия установлена и закрыта ли вчерашняя уязвимость, а также потребовать подтверждения обновления. Исправленные версии PHP — 8.5.12, 8.4.27, 8.3.36, 8.2.35 и все более новые. Для старых версий официальных обновлений не будет, и их, скорее всего, придется менять на новый PHP.
Эксперт отдельно отметил, что обновления самого сайта недостаточно: обновленный WordPress или «Битрикс» не заменяет обновление PHP на сервере. На обычном хостинге версию PHP видно в панели управления; многие провайдеры могли уже установить исправления сами, но проверить это все равно нужно. Переписывать сайт обычно не требуется, а если он долго работал на старой версии, его лучше проверить на следы взлома.
На время устранения критических уязвимостей владельцы сайтов могут временно ограничить доступ к ним.