PHP виявила критичні вразливості: як уберегтися від кіберзловмисників

Довідник проведень для бухгалтерів бюджетних установ

Вразливості містяться у C-коді інтерпретатора PHP (зокрема у модулях обробки запитів та управління пам’яттю) незалежно від конфігурації веб-сервера. Загрозі присвоєно критичний рівень небезпеки CVSS v4.0 — 9.2 (за оцінками незалежних дослідників — до 10.0).

Вразливі та виправлені версії

Вразливими є всі версії PHP, починаючи з 5.4.0 і закінчуючи 8.5.11.

Офіційні виправлені версії: PHP 8.2.35, 8.3.36, 8.4.27 та 8.5.12.

Застарілі версії (PHP 5.x, 7.x, 8.0, 8.1) досягли завершення життєвого циклу (EOL) і вже не отримають офіційних оновлень від PHP Foundation.

Можливі наслідки

Повна компрометація вебсервера та виконання системних команд у контексті робочих процесів PHP (php-fpm, php-cgi, apache2, nginx).

Викрадення паролів, сесійних токенів та ключів доступу безпосередньо з пам’яті сервера, а також розгортання веб-шелів.

Компрометація вебдодатків та CMS (WordPress, Magento, WooCommerce, Drupal тощо).

Як перейти на українське ПЗ

• як бюджетній установі перейти на українське програмне забезпечення
• як перенести залишки, задокументувати перехід і списати вороже ПЗ

Рекомендації з протидії та реагування

1. Оновлення інтерпретатора: Наполегливо рекомендуємо якнайшвидше оновити PHP на підтримуваних гілках до виправлених версій та перезапустити сервіси PHP (systemctl restart php-fpm). Це єдиний підтверджений і надійний шлях повного захисту.

2. Використання WAF та мережевих правил: Компанії Akamai та Cloudflare випустили оновлені правила безпеки для WAF, спрямовані на блокування спроб експлуатації PHP2Shell. Наголошуємо, що застосування правил WAF є лише тимчасовим заходом стримування, а єдиним підтвердженим способом захисту залишається оновлення самого інтерпретатора PHP.

3. Тимчасові заходи (для EOL-версій або до моменту патчингу): Вимкніть відстеження завантаження файлів у сесіях, встановивши параметр session.upload_progress.enabled = Off у файлі php.ini, та перезапустіть PHP-сервіс. Обмежте мережевий доступ до вебсерверів (за можливості).

4. Аналіз та реагування:

• перевірте журнали та налаштуйте виявлення підозрілих дочірніх процесів, що породжуються PHP (зокрема запуск /bin/sh, bash, powershell, curl, wget, тощо від імені php-fpm, httpd, nginx);
• перевірте вебдиректорії на появу невідомих або нещодавно змінених скриптів, а систему на наявність нових запланованих задач чи облікових записів, створених без вашого відома;
• якщо виявили ознаки несанкціонованого доступу — змініть паролі та ключі доступу, що використовувалися на сервері, і якнайшвидше повідомте про інцидент CERT-UA.

Будьте обережні на вебсайтах, які розроблені на PHP, не авторизуйтесь на них та не вводьте особисту інформацію, особливо платіжні реквізити. Якщо ж установа, ОМС має вебсайт, який функціонує на цій технології — виконайте рекомендації Держспецзв’язку. 

За інформацією Держспецзв’язку