Национальная служба реагирования на компьютерные инциденты KZ-CERT выпустила экстренное предупреждение для владельцев и администраторов казахстанских сайтов. В PHP, одной из самых распространенных программ для работы сайтов, нашли две опасные ошибки. Их назвали PHP2Shell.
PHP работает на сервере, то есть на компьютере, где хранится сайт. Когда человек открывает страницу интернет-магазина или новостного портала, именно PHP собирает ее и отправляет в браузер. На этой основе построены сайты на WordPress, 1С-Битрикс, Laravel, Drupal, Joomla и других популярных платформах.
Чем опасны уязвимости
Найденные ошибки позволяют злоумышленнику получить управление сервером. Для этого ему не нужны ни логин, ни пароль. Достаточно отправить сайту специально составленный запрос, и сервер выполнит чужие команды.
Получив такой доступ, взломщик может украсть данные пользователей, подменить содержимое страниц или оставить себе лазейку на будущее. Обеим уязвимостям присвоили оценку опасности 9,2 балла по шкале CVSS, близкую к максимальной.
Ошибки сидят в самом PHP. Поэтому обновить сайт или его плагины недостаточно, обновлять нужно сам PHP на сервере. Атака может пройти незаметно, ведь сайт продолжает работать как обычно.
Первую попытку атаки компания Amazon зафиксировала за четыре дня до того, как об уязвимостях объявили публично.
Что рекомендует KZ-CERT
Разработчики PHP выпустили экстренные исправления для всех поддерживаемых версий языка. KZ-CERT призывает администраторов немедленно установить обновления и перезапустить процессы веб-сервера.
Исправленными считаются версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Владельцам сайтов на старых, уже не поддерживаемых ветках PHP советуют перейти на актуальную, поскольку готовых обновлений для них не будет.
До установки исправлений специалисты рекомендуют отключить в настройках PHP отслеживание загрузки файлов, ограничить размер запросов и внимательно следить за журналами сервера.
Что с порталом eGov
В АО «Национальные информационные технологии» сообщили изданию Digital Business, что уязвимости не затрагивают работу портала eGov.kz. По данным компании, портал и его компоненты работают в штатном режиме.
О подтвержденных массовых взломах государственных систем, банков или крупных интернет-сервисов Казахстана KZ-CERT не сообщал.
Как реагировали в Европе
В ряде европейских стран сайты на время обновления отключали. В Нидерландах временно закрыли правительственный портал Overheid.nl и сайт порта Роттердама, а в Финляндии центр государственных информационных служб Valtori отключил публичные веб-сервисы правительства.
Во Франции сайты префектур перевели в режим обслуживания, в Германии отключили несколько федеральных ресурсов. Власти Чехии временно закрыли правительственный сайт для установки исправлений.
