Реагирование на уязвимость PHP: администраторам сайтов необходимо незамедлительно обновить версию, обычным пользователям — усилить безопасность учётных записей и защиту от фишинга

22 октября официальный сайт PHP опубликовал бюллетень по безопасности, в котором представлены меры реагирования на уязвимость «php2shell». Пользователям версий PHP 8.5, 8.4, 8.3 и 8.2 необходимо незамедлительно обновиться до соответствующих исправленных релизов: PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Если PHP установлен через дистрибутив операционной системы, следует применить патчи, выпущенные этим дистрибутивом. Версии PHP 8.1 и более ранние вышли из цикла официальной поддержки; пользователям таких версий необходимо перейти на актуальные поддерживаемые ветки или напрямую связаться с поставщиком дистрибутива и/или поставщиком долгосрочной поддержки (LTS), чтобы уточнить наличие специализированных исправлений для устаревших версий.

Общие рекомендации по защите для обычных пользователей соответствуют общим указаниям Агентства кибербезопасности и безопасности инфраструктуры США (CISA): во-первых, включите двухфакторную аутентификацию (2FA) для электронной почты, банковских аккаунтов и других высокочувствительных учётных записей; во-вторых, используйте уникальные сложные пароли для каждого онлайн-аккаунта — ни в коем случае не повторяйте их на разных платформах; в-третьих, проявляйте повышенную бдительность в отношении писем с заявлениями о «срочном сбросе пароля»: все операции по изменению пароля должны выполняться исключительно через официальный сайт или официальное мобильное приложение — ни в коем случае не переходите по ссылкам из полученных писем. Подобные меры значительно снижают риски компрометации учётных записей и фишинговых атак, однако они не устраняют уязвимости в самом серверном окружении PHP.

Cloudflare подчёркивает, что данная уязвимость заложена на уровне интерпретатора PHP, выполняющегося на сервере, поэтому обновление кода веб-приложения или сторонних плагинов полностью бесполезно. Пользователям хостинговых услуг необходимо самостоятельно связаться со своим провайдером и уточнить, обновлён ли базовый интерпретатор PHP до безопасной версии. В то же время Cloudflare добавила в свой Web Application Firewall (WAF) новые правила обнаружения и реагирования, охватывающие полную HTTP-цепочку транзакций, и предоставила их всем клиентам — включая пользователей бесплатного тарифного плана. До завершения полноценного устранения уязвимости WAF следует держать включённой постоянно. Однако следует чётко понимать: временные меры, такие как политики WAF или ограничения загрузки файлов, не заменяют собой фундаментального исправления.

Компания по кибербезопасности Huntress предложила рекомендации для предприятий: немедленно проведите полный инвентаризационный аудит всех активов — включая физические и виртуальные серверы, панели управления и интегрированные сторонние программные компоненты — с целью точного выявления всех экземпляров развернутого PHP. Приоритетным направлением ремонта должны стать системы, доступные из публичного интернета. Для версий, находящихся в режиме обслуживания и не подлежащих обновлению в краткосрочной перспективе, необходимо немедленно отключить их от внешней сети. Кроме того, требуется постоянный мониторинг поведения процессов PHP с акцентом на выявление подозрительных действий: несанкционированных вызовов командной строки, запуска интерактивных интерпретаторов или загрузки внешних исполняемых файлов. При обнаружении таких событий затронутый сервер следует немедленно изолировать и сохранить в неизменном виде журналы веб-доступа, а также журналы ошибок и выполнения PHP — для последующего анализа и установления первопричин.