PHP2Shell: критические уязвимости позволяют выполнять код без аутентификации

Критические уязвимости PHP2Shell позволяют выполнять код без аутентификации

Две критические уязвимости в PHP, известные как PHP2Shell, появились 21 октября. Они позволяют злоумышленникам выполнять произвольный код на уязвимых серверах без необходимости аутентификации. Уязвимости получили идентификаторы CVE-2026-109618 и CVE-2026-109619. Эксперты IDC отмечают, что PHP используется для работы множества веб-сайтов и приложений, включая WordPress и Drupal. Обнаружение всех мест установки PHP в инфраструктуре организации представляет собой сложную задачу, особенно в условиях экстренного реагирования на инцидент. Исследование IDC показало, что 30,7% респондентов назвали знание о местоположении уязвимого ПО своей главной проблемой при резком росте числа уязвимостей. Еще 28,8% отметили сложность определения приоритетов при устранении уязвимостей.

PHP распределяет нагрузку и работает в различных продуктах

PHP является основой для веб-сайтов и приложений, включая такие платформы, как WordPress и Drupal. Однако информация о наличии PHP в системе не всегда включает детали о его конкретной версии или месте установки. Уязвимый PHP может быть встроен в сторонние продукты, административные инструменты, устаревшие внутренние системы или веб-сайты, управляемые хостинг-провайдерами. Обновление веб-сайта или его плагинов не устраняет уязвимость, если само программное обеспечение PHP не обновлено. Исправление может потребовать действий от внутренней команды инфраструктуры, хостинг-провайдера или поставщика продукта. Аналогичная проблема возникла в 2021 году с уязвимостью Log4Shell, когда Log4j обнаруживался в приложениях, о наличии которых владельцы не знали. Исследователи, обнаружившие PHP2Shell, использовали передовые модели искусственного интеллекта для выявления недостатков в ядре PHP, существовавших более десяти лет. ИИ также ускоряет процесс создания эксплойтов, позволяя быстрее превращать уязвимость в рабочий инструмент атаки.

Обновление до последней версии является единственным безопасным решением

Уязвимости PHP2Shell затрагивают все версии PHP. Разработчики PHP выпустили исправления, но подчеркивают, что полных мер по смягчению последствий не существует. Обновление является единственным безопасным выбором. Временные меры, такие как ограничение сетевого доступа или изменение конфигураций, могут снизить риски, но требуют тщательной оценки и имеют ограниченный срок действия. Организации должны верифицировать эффективность таких мер и, при неприемлемом остаточном риске, переводить системы в автономный режим. Для успешного устранения уязвимости необходимо иметь актуальную информацию об установленных версиях PHP, их владельцах и ответственных за обновления.

Проведите инвентаризацию и установите обновления

Организации, столкнувшиеся с PHP2Shell, должны укрепить четыре практики. Проведите инвентаризацию всех установок PHP, начиная с систем, доступных из интернета. Зафиксируйте версию каждой установки и ее источник, так как дистрибутивы могут применять исправления к старым версиям без изменения номера версии. Определите владельцев, которые могут авторизовать и выполнить обновления, включая внешних поставщиков. Следуйте текущим рекомендациям PHP и поставщиков, проверьте, что исправленное программное обеспечение работает, и расследуйте признаки компрометации. Установите временные меры защиты, изолируйте системы при необходимости и назначьте ответственных и дату пересмотра для каждого нерешенного риска. Успешное реагирование на уязвимости зависит от готовности, которая начинается до их обнаружения.