Критические уязвимости PHP поставили под угрозу российские сайты, но обновиться смогут не все
Команда безопасности PHP предупредила о двух критических уязвимостях с оценкой 9,2 балла из 10. Исправления запланированы на 21 октября, 17:00 по московскому времени. По данным исследователей, ошибки могут позволить злоумышленникам удаленно выполнять команды на сервере без авторизации. В интернете уже появилась демонстрация инструмента PHP2Shell, якобы работающего с популярными системами управления сайтами. Однако его заявленные возможности пока не подтверждены.
Проблема затрагивает не отдельную систему управления сайтом, а сам PHP, который используется в WordPress, Drupal, Joomla, Magento, WooCommerce, российском «1С-Битрикс» и множестве заказных приложений. На нем работают интернет-магазины, личные кабинеты клиентов и корпоративные порталы. Поэтому обновление самого сайта не обязательно устранит уязвимость. Исправлять потребуется программное обеспечение сервера.
Но PHP 8.1 и все более ранние версии уже сняты с официальной поддержки. Команда PHP больше не выпускает для них исправления безопасности. Если новые уязвимости затрагивают эти версии, их владельцы не получат обновлений от разработчиков языка. Поставщики отдельных операционных систем могут самостоятельно переносить исправления в старые версии, но остальным придется переходить на поддерживаемый PHP 8.2 или новее. Причем поддержка самого PHP 8.2 завершится уже 31 декабря 2026 года.
Для старых корпоративных систем такой переход не всегда возможен без серьезных доработок. Многие из них создавались под PHP 5 или PHP 7, а затем годами развивались без смены технологической основы. Новые версии PHP могут не поддерживать функции, на которых построены приложения, а устаревшие библиотеки и самостоятельно разработанные модули могут перестать работать. Для интернет-магазина это риск нарушения приема заказов и платежей, для корпоративного портала возможные сбои в обмене данными с учетными системами.
Как ранее писал IT-World, за годы эксплуатации корпоративные системы обрастают собственной бизнес-логикой и интеграциями. Их модернизация может потребовать значительных затрат даже при наличии готовой современной платформы. Поэтому компании нередко продолжают использовать устаревшее ПО, пока оно выполняет свои задачи.
Сложности возникают и с массовыми платформами. «1С-Битрикс» предупреждает, что переход на PHP 8 может нарушить работу старых модулей. Иногда приходится сначала обновлять саму платформу на прежней версии PHP, затем проверять дополнительные компоненты и только после этого менять серверное окружение. С февраля 2026 года актуальная версия «1С-Битрикс» требует PHP не ниже 8.2, но давно не обновлявшиеся сайты этим требованиям могут не соответствовать.
Есть и более сложные случаи. PHP может использоваться внутри готового корпоративного приложения, поставщик которого давно прекратил поддержку. Заказчик не всегда может самостоятельно заменить встроенный компонент, поскольку это нарушит работу продукта. Если разработчик не выпустит исправление, придется искать сторонних специалистов или менять систему целиком.
При этом обновление зависит не только от разработчиков приложений. На виртуальном хостинге новые версии PHP предоставляет провайдер, а на арендованных серверах установкой исправлений занимается администратор или подрядчик. Даже если исправленная версия станет доступна сразу после выпуска, владельцу сайта потребуется убедиться, что его приложения и интеграции продолжат работать.
По прогнозу Sansec, массовые попытки эксплуатации могут начаться уже через 15 минут после публикации исправлений. Подтвержденных данных о таких атаках пока нет. Европейская служба CERT-EU рекомендует организациям немедленно обновлять PHP, а при невозможности установить исправления временно ограничивать доступ к потенциально уязвимым приложениям.
Для публичных сервисов это означает риск остановки обслуживания клиентов. Причем компании с устаревшими приложениями могут не успеть перейти на защищенную версию даже за несколько дней. Как отмечал IT-World в материале об управлении жизненным циклом ИТ-ресурсов, отложенные обновления постепенно увеличивают технический долг и риски безопасности.
Какие именно версии PHP затронуты, разработчики обещают раскрыть вместе с исправлениями. Пока неизвестно, сколько российских сайтов действительно уязвимы. Но если подтвердятся предварительные данные о широком диапазоне затронутых версий, владельцам устаревших систем придется решать сразу две проблемы. Искать способ защитить действующие приложения и одновременно финансировать их модернизацию, которую раньше можно было откладывать.
