Миллионы веб-сайтов в Германии под угрозой: что означает уязвимость PHP
Миллионы веб-сайтов в Германии под угрозой: что означает уязвимость PHP для пользователей и владельцев сайтов.
Две опасные уязвимости в языке программирования PHP поставили под угрозу миллионы веб-сайтов по всему миру. Немецкое Федеральное ведомство по безопасности в информационной технике (BSI) выпустило предупреждение и призывает владельцев сайтов немедленно установить обновления.
Разбираемся, что случилось, кому это грозит и что делать.
Читайте также: Масштабная хакерская атака на автодилеров: пострадали клиенты по всей Германии.
Миллионы веб-сайтов в Германии под угрозой: что означает уязвимость PHP
Что за уязвимость нашли в PHP? PHP — это язык программирования, на котором работает серверная часть большинства сайтов в интернете. По данным исследовательского сервиса W3Techs, около 69% всех сайтов, у которых известен серверный язык, используют именно PHP. Поэтому одна дыра в нём автоматически затрагивает огромное количество страниц.
20 октября 2026 года команда PHP объявила о срочном выпуске обновлений безопасности. Детали уязвимостей, по данным компании Huntress, до этого успели утечь в публичный доступ раньше времени. 21 октября разработчики выложили патчи. Речь идёт о двух критических уязвимостях с номерами CVE-2026-109618 и CVE-2026-109619. По шкале CVSS 4.0 обе получили 9,2 балла из 10.
Именно эти дыры и называют «PHP2Shell». По словам BSI, название подчёркивает сходство со скандальной уязвимостью Log4Shell в Java-библиотеке Log4j, случившейся в 2021 году.
Читайте также: Российские хакеры атакуют Wi-Fi-роутеры в Германии.
Миллионы веб-сайтов в Германии под угрозой: чем опасна «PHP2Shell»?
Уязвимости позволяют злоумышленникам удалённо запускать на серверах собственный вредоносный код. Причём ни логин, ни какие-либо действия пользователей для этого не нужны. По данным агентства dpa, есть угроза полного захвата затронутых систем. Поэтому власти и эксперты по кибербезопасности оценивают ситуацию как чрезвычайную.
BSI выпустило предупреждение со вторым по серьёзности уровнем: критичность 3 из 4 («очень высокая», оранжевый цветовой код). Ведомство призывает устанавливать обновления немедленно.
Насколько масштабной может быть проблема, показал анализ американской компании Wiz. Одна из уязвимостей позволяет прочитать оперативную память процесса PHP — даже без запуска вредоносного кода. А в ней могут храниться пароли, токены доступа и API-ключи, которые другие пользователи ранее отправляли на сайт.
Читайте также: Осторожно, мошенники: ADAC предупреждает о поддельных сайтах с виньетками.
Грозит ли это вашим личным данным?
Косвенно — да. По данным dpa, риск возникает, если сайт, государственный портал или интернет-магазин использует уязвимую версию PHP и вовремя не обновился.
В таком случае злоумышленники через вредоносный код могут добраться до баз данных за сайтом. Тогда возможна утечка чувствительных данных клиентов, паролей и контактной информации.
При этом на ваших собственных устройствах, по данным dpa, прямой опасности нет. Уязвимость находится только на серверах владельцев сайтов, то есть в фоне.
Что вы можете сделать сами:
- Серьёзно относитесь к утечкам. Если магазин или портал сообщает об инциденте безопасности, сразу смените там пароль. Если такой же пароль вы использовали где-то ещё — смените и там.
- Будьте осторожны с письмами. Когда злоумышленники используют утечки данных, часто приходят поддельные сообщения от имени известных сервисов. Не кликайте по ссылкам в неожиданных уведомлениях, а открывайте сайт напрямую в браузере.
- Защищайте учётные данные. Менеджер паролей и двухфакторная аутентификация усложняют злоумышленникам использование украденных данных.
Читайте также: Клонирование аккаунтов Signal и WhatsApp в Германии: что важно знать.
Миллионы веб-сайтов в Германии под угрозой: как понять, затронут ли ваш сайт?
По данным команды PHP, под угрозой все установки PHP, которые отвечают на веб-запросы. Это PHP-FPM, Apache с модулем mod_php, php-cgi, FrankenPHP и LiteSpeed.
Наибольший риск, по данным проекта, у mod_php: там один запрос без авторизации может запустить атаку ещё до того, как выполнится код приложения. Wiz продемонстрировал атаку на актуальных контейнерных образах WordPress, Drupal и Joomla. По данным Wiz, уязвимым может оказаться даже простое тестовое приложение на затронутой версии PHP.
Как пользователь вы вряд ли сможете извне проверить, какая версия PHP стоит на сайте. За это отвечают владельцы сайтов и их хостинг-провайдеры. Спрашивайте у магазинов и порталов, которые обрабатывают чувствительные данные, установили ли они обновления.
Обновления уже доступны
По данным команды PHP, уязвимости закрывают версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Проверить свою версию можно в терминале командой php -v или в панели управления хостера. По данным проекта PHP, дистрибутивы Linux и провайдеры с долгосрочной поддержкой получили патчи заранее — им стоит проверить свои источники пакетов.
Важно: экстренные меры, которые предлагает команда PHP, не заменяют обновление. По данным проекта, это лишь временное решение, если обновление невозможно установить сразу. BSI также пишет, что такие меры не дают полной защиты. Если патч нельзя поставить незамедлительно, BSI рекомендует рассмотреть временное отключение от интернета. Amazon Threat Intelligence называет обновление единственным полным решением.
Старые версии особенно уязвимы. PHP 8.1 и всё, что старше, больше не получают регулярных обновлений, но для PHP 7.4, 8.0 и 8.1 проект предоставляет минимальные исправления, которые специалисты могут установить самостоятельно. Поддержка PHP 8.2, по данным проекта, заканчивается 31 декабря 2026 года.
Крупные игроки уже отреагировали
По данным dpa, хостинг Ionos обновил свои системы. InMotion Hosting отключил одну затронутую настройку на всех управляемых серверах и сейчас раскатывает патчи; для общего хостинга провайдер ещё ждёт патчей от партнёра CloudLinux. Cloudflare, по собственным данным, с 21 октября, 03:02 UTC, включил правила защиты WAF для известных путей атак — они доступны всем клиентам, в том числе бесплатно, но обновление не заменяют.
Читайте также: Пенсионная афера: в Германии предупреждают о фальшивых сайтах.
Миллионы веб-сайтов в Германии под угрозой: почему расслабляться рано — атаки только начинаются
Пока отбоя нет. По данным dpa, мировая волна автоматизированных атак только начинается и, вероятно, продлится от недель до месяцев: злоумышленники неустанно ищут непатченные системы. Отбой можно будет объявить только тогда, когда основная масса хостингов и администраторов установит обновления.
Данные об эксплуатации расходятся. По информации dpa, в связи с уязвимостью пока не известно о хакерских атаках. BSI не называет подтверждённой эксплуатации, но ссылается на неподтверждённые сообщения об эксплойтах. Американское ведомство CISA на момент своего сообщения эксплуатации не наблюдало. Amazon Threat Intelligence, напротив, говорит, что PHP2Shell уже широко используется в дикой природе.
Британское ведомство NCSC советует отключать от сети системы, которые нельзя ни обновить, ни защитить иначе. CISA настаивает на немедленном патчинге и рекомендует отключать от сети PHP 8.1 и более старые версии.
По данным dpa, владельцам сайтов нужно изолировать системы и устаревшие версии PHP без официальных обновлений или срочно их отключать, чтобы они не стали постоянными точками входа. В Баварии профилактически отключённые сайты ведомств и учреждений по большей части снова работают.
Исследователь безопасности Кевин Бомонт сказал в комментарии Help Net Security: «Ситуация с PHP приведёт к массе инцидентов». А судебный эксперт Хэл Померанц предупреждает о длинном шлейфе: многие встраиваемые устройства и забытые приложения не будут пропатчены никогда.
Читайте также: Онлайн-заявка на получение Kindergeld: как не попасть на платный сайт.
Последние новости
