|
|
@@ -0,0 +1,19 @@
|
|
|
+# Примеры реализации угроз безопасности
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+Национальный координационный центр по компьютерным инцидентам (НКЦКИ), действующий при ФСБ России, направил операторам критической информационной инфраструктуры требование срочно устранить две критические уязвимости PHP. Если установить исправления оперативно невозможно, организациям предписано рассмотреть ограничение внешнего доступа к уязвимым серверам вплоть до их полного отключения. Об этом 22 октября сообщил РБК со ссылкой на письмо НКЦКИ, подлинность которого подтвердили три организации-получателя.
|
|
|
+
|
|
|
+Предупреждение разослано через государственную систему ГосСОПКА и касается информационной инфраструктуры государственных органов, банков, операторов связи, энергетических, транспортных, медицинских и других организаций. Помимо обновления PHP, получателям предписано провести антивирусную проверку серверов, изучить журналы на предмет возможного взлома и сообщать о подозрительных инцидентах. Аналогичные рекомендации распространили центры кибербезопасности других стран, однако в России ситуация примечательна ещё и тем, что указания по обновлению конкретного программного обеспечения поступают непосредственно от структуры ФСБ.
|
|
|
+
|
|
|
+Поводом стали две уязвимости, CVE-2026-109618 и CVE-2026-109619, получившие общее название PHP2Shell. Обе оцениваются в 9,2 балла по шкале CVSS 4.0 и при определённых условиях позволяют выполнять произвольный код на сервере без авторизации. Разработчики PHP 21 октября выпустили исправления в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12.
|
|
|
+
|
|
|
+Отдельного упоминания заслуживает работа чешского разработчика Ондржея Суры (Ondřej Surý), сопровождающего популярные репозитории PHP для Debian и Ubuntu. Уже 21 октября он опубликовал обновления сразу для 12 веток PHP, включая давно неподдерживаемые версии 5.6, 7.0–7.4 и 8.0–8.1. Для последних были подготовлены обратные переносы (бэкпорты) исправлений, позволяющие снизить угрозу без немедленной миграции на новую версию языка. Правда, сами разработчики PHP характеризуют такие патчи как минимальную защитную меру, не заменяющую переход на поддерживаемые версии.
|
|
|
+
|
|
|
+Таким образом, пока государственные ведомства разных стран рекомендовали операторам сайтов срочно обновляться или отключать серверы, один из сопровождающих сторонних репозиториев сумел предложить практическое решение в том числе для значительной части устаревших установок PHP.
|
|
|
+
|
|
|
+Проблема затрагивает непосредственно интерпретатор PHP, а не отдельные веб-приложения. Поэтому обновление WordPress, Drupal, Joomla или «1С-Битрикс» само по себе уязвимости не устраняет. Для устаревших веток PHP, не поддерживаемых разработчиками языка, ситуация сложнее: требуется переход на поддерживаемую версию либо установка исправлений от поставщика ОС, если тот продолжает сопровождать соответствующие пакеты.
|
|
|
+
|
|
|
+Масштаб угрозы трудно переоценить. По данным W3Techs, PHP используют около 69,3% сайтов в мире и 90,8% русскоязычных ресурсов среди тех, для которых удалось определить серверный язык программирования. Это не означает, что все они уязвимы, но показывает размер потенциальной поверхности атаки.
|
|
|
+
|
|
|
+Последствия обнаружения PHP2Shell уже почувствовали во многих странах. В Нидерландах временно отключили государственные порталы Overheid.nl и MijnOverheid.nl, сервис электронной идентификации DigiD. Ограничения затронули также сайты больниц, порта Роттердама и национальной футбольной ассоциации. Во Франции закрывали сайты префектур, в Германии — отдельные федеральные ресурсы, в Финляндии — государственные онлайн-сервисы. Аналогичные меры приняли учреждения Бельгии и Чехии. Масштаб отключений перечислило агентство Reuters.
|
