😍 ИИ помог найти дыру в PHP. Теперь весь интернет спешно устанавливает патчи

Захватить сервер без авторизации, выполнить на нём произвольный код и получить доступ к конфиденциальной информации. Подобные возможности открывают две критические уязвимости PHP, исправления для которых вышли сегодня. Ошибки затрагивают сам интерпретатор, поэтому под потенциальной угрозой оказались миллионы сайтов, включая ресурсы на WordPress, Drupal и Joomla.

Опасность оказалась настолько серьёзной, что европейские правительства начали самостоятельно отключать сайты. В Нидерландах недоступными стали парламентский портал, системы взаимодействия граждан с государством, сайты больниц и ведомств. Финляндия, Франция и Дания также ограничили работу части государственных платформ. Национальный центр кибербезопасности Нидерландов даже временно отключил собственный ресурс.

Ограничения затронули и крупные интернет-площадки. Wikimedia приостановила вспомогательные сервисы для разработчиков, 4chan отключил публикацию сообщений и авторизацию. При этом подтверждений массового взлома пока нет. Организации закрывают доступ к системам, чтобы не дать злоумышленникам воспользоваться уязвимостями до установки исправлений.

Получился цифровой кризис без подтверждённой волны успешных атак. Две ошибки в распространённом серверном компоненте заставили целые государства перейти к чрезвычайным мерам. Насколько глубока зависимость современного интернета от PHP, стало особенно заметно, когда привычные государственные и коммерческие сервисы начали один за другим исчезать из сети.

Короткий чек-лист

Обновиться до 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 — единственное полное решение.
До обновления: upload_progress=0 (если функция не используется) и memory_limit=-1 с ограничением post_max_size на фронте; перезапустить воркеры.

Мониторить предупреждения фазы старта запроса («PHP Request Startup: … in Unknown on line 0») — маркер дообновлённой поверхности.
Не применять RLIMIT_AS/RLIMIT_DATA.

К «утёкшим PoC» из соцсетей относиться как к непроверенным до A/B-прогона.

#PHP2Shell, #Уязвимости, #Интернет