Если у вас есть деньги на хорошего специалиста по безопасности, то скорее всего вы уже работаете со мной … закройте эту статью или паглядзіце, як вы можаце падключыць да свайго сайта сапраўднага ШІ-маскота. Калі грошай няма, то чытайце ніжэй.
Карацей кажучы, у PHP выяўлены крытычныя ўразлівасці. Яны атрымалі ацэнку 9,2 з 10 паводле шкалы CVSS 4.0, што адпавядае крытычнаму ўзроўню небяспекі. Пры пэўных умовах яны могуць дазволіць зламыснікам выконваць каманды на серверы без папярэдняй аўтарызацыі. Пра пагрозу паведамілаагенцтва Reuters 21 кастрычніка. Паводле яго звестак, праблема закранула інфраструктуру ў некалькіх еўрапейскіх краінах, а некаторыя арганізацыі вырашылі часова адключыць свае сайты, каб знізіць рызыку магчымых кібератак.
Праблема атрымала назву PHP2Shell і звязана з уразлівасцямі CVE-2026-109618 і CVE-2026-109619, якія могуць дазволіць зламыснікам выконваць код на серверы без аўтарызацыі. У сваю чаргу Cloudflare разгарнула дадатковыя правілы абароны. Аднак не ўсе ўладальнікі сайтаў могуць неадкладна абнавіць сервернае праграмнае забеспячэнне.
У такой сітуацыі важна не абмяжоўвацца адной наладай, а паслядоўна ўзмацніць абарону на ўзроўні PHP, хостынгу і Cloudflare.
1. Найперш абнавіце PHP
Самы надзейны спосаб вырашыць праблему — усталяваць выпраўленую версію PHP. Паводле афіцыйнага паведамлення распрацоўшчыкаў, выпраўленні выпушчаны для наступных галінак:
- PHP 8.5.12;
- PHP 8.4.27;
- PHP 8.3.36;
- PHP 8.2.35.
Калі выкарыстоўваецца больш ранні выпуск адной з гэтых галін, неабходна абнавіцца да выпраўленай версіі або больш новага выпуску, які змяшчае неабходныя выпраўленні.
Праверыць актуальныя рэкамендацыі можна на афіцыйным сайце PHP.
Калі хостынг не прапануе пералічаныя версіі, не варта проста пераключацца на яшчэ больш старую версію PHP. Для PHP 8.1 і больш ранніх галін неабходна ўдакладніць у правайдара, ці даступныя выпраўленыя зборкі з перанесенымі выпраўленнямі бяспекі. Калі такіх зборак няма, трэба запланаваць пераход на версію, якая падтрымліваецца.
Важна: абнаўленне WordPress, яго тэмы і плагінаў само па сабе не ліквідуе ўразлівасці PHP. Выпраўленне павінна быць усталявана менавіта ў серверным асяроддзі.
2. Калі абнавіць PHP пакуль немагчыма
Не ўсе ўладальнікі сайтаў маюць магчымасць самастойна змяняць серверныя налады. На звычайным віртуальным хостынгу версія PHP і параметры яе працы могуць кантралявацца правайдарам.
У гэтым выпадку неабходна як мага хутчэй звярнуцца ў службу падтрымкі і ўдакладніць:
- якая версія PHP выкарыстоўваецца для сайта;
- ці ўсталяваны выпраўленні CVE-2026-109618 і CVE-2026-109619;
- ці даступная выпраўленая зборка для бягучага тарыфу;
- якія часовыя меры абароны можна ўжыць да абнаўлення.
Калі правайдар не можа забяспечыць выпраўленую версію, варта папрасіць яго прапанаваць бяспечны варыянт міграцыі. Не варта самастойна змяняць крытычныя параметры PHP, не разумеючы іх уплыву на працу сайта.
Для адміністратараў сервераў распрацоўшчыкі PHP таксама апісалі часовыя меры, якія зніжаюць рызыку асобных сцэнарыяў эксплуатацыі. Сярод іх абмежаванне памераў HTTP-запытаў і загрузак, адключэнне механізма session.upload_progress і некаторыя дадатковыя налады апрацоўкі памылак.
Гэтыя параметры патрабуюць асцярожнасці. Напрыклад, змяненне memory_limit або абмежаванняў загрузкі можа паўплываць на працу сайта. Іх варта ўжываць з улікам афіцыйных рэкамендацый PHP і канфігурацыі сервера.
Ніводная з пералічаных мер не забяспечвае паўнавартаснага выпраўлення ўразлівасцей. Поўныя рэкамендацыі апублікаваны на php.net.
3. Праверце абарону Cloudflare
Cloudflare паведаміў, што разгарнуў спецыяльныя правілы міжсеткавага экрана вэб-праграм (WAF) для абароны ад PHP2Shell. Паводле заявы кампаніі, абарона стала даступная кліентам з актыўным WAF, уключаючы бясплатны тарыф, да публічнага раскрыцця інфармацыі пра ўразлівасці.
Гэта азначае, што ўладальнікам сайтаў, якія выкарыстоўваюць Cloudflare, варта найперш праверыць дзейныя налады, а не ствараць самастойна выпадковыя правілы.
Рэкамендуецца выканаць наступныя дзеянні:
Крок 1. Пераканайцеся, што сайт праксіруецца праз Cloudflare.
У раздзеле DNS праверце запісы дамена і паддамена www. Для вэб-запісаў, якія павінны праходзіць праз Cloudflare, павінна быць уключана праксіраванне, пазначанае аранжавым воблакам.
Гэта дапамагае накіроўваць адпаведны HTTP- і HTTPS-трафік праз ахоўную інфраструктуру Cloudflare. Аднак неабходна асобна пераканацца, што прамы доступ да сервера не дазваляе абысці гэтую абарону.
Крок 2. Праверце правілы WAF.
Адкрыйце панэль Cloudflare, выберыце дамен і перайдзіце ў раздзел Security, затым Security rules або Managed rules.
Праверце, ці ўключаны даступны набор кіраваных правіл Cloudflare. Для бясплатнага тарыфу кампанія паведаміла пра даданне правіл у Cloudflare Managed Free Ruleset.
Не адключайце дзейныя правілы бяспекі і не змяняйце іх дзеянні без неабходнасці. Калі для вашага сайта даступныя спецыяльныя правілы, пераканайцеся, што яны ўключаны.
Крок 3. Сачыце за падзеямі бяспекі.
У раздзеле Security Events або Security Analytics правярайце заблакіраваныя запыты, спрацоўванні WAF і незвычайную актыўнасць.
Пры гэтым не варта лічыць кожны заблакіраваны зварот доказам паспяховай атакі. Журналы дапамагаюць выяўляць падазроныя запыты, але самі па сабе не пацвярджаюць, што сервер быў узламаны.
Падрабязней пра ахоўныя меры можна прачытаць у афіцыйным паведамленні Cloudflare пра PHP2Shell.
4. Абмяжуйце магчымасць абыходу Cloudflare
Нават калі сайт выкарыстоўвае Cloudflare, сервер можа заставацца даступным непасрэдна па IP-адрасе. У такім выпадку запыты могуць абыходзіць WAF і іншыя правілы, наладжаныя ў Cloudflare.
Калі хостынг дазваляе кіраваць доступам да сервера, варта абмежаваць уваходныя HTTP- і HTTPS-злучэнні так, каб да вэб-сервера маглі звяртацца толькі дазволеныя крыніцы, уключаючы актуальныя дыяпазоны IP-адрасоў Cloudflare.
Перад змяненнем правілаў неабходна праверыць канфігурацыю сервера і іншыя сэрвісы, якія выкарыстоўваюцца. Памылка можа зрабіць сайт недаступным або парушыць працу пошты і іншых службаў.
На віртуальным хостынгу такую наладу звычайна трэба ўзгадніць з правайдарам.
5. Праверце SSL/TLS
У панэлі Cloudflare адкрыйце раздзел SSL/TLS і праверце рэжым шыфравання злучэння паміж наведвальнікам, Cloudflare і зыходным серверам.
Калі на серверы ўсталяваны сапраўдны сертыфікат, які падтрымлівае праверку сапраўднасці, рэкамендуецца выкарыстоўваць рэжым Full (strict).
Гэты рэжым абараняе злучэнне паміж Cloudflare і серверам ад шэрагу рызык, звязаных з няправільнай наладкай шыфравання і праверкай сертыфіката. Аднак ён не ліквідуе ўразлівасці PHP і не замяняе абнаўленне праграмнага забеспячэння.
Не пераключайце рэжым наўздагад: спачатку пераканайцеся, што сертыфікат на серверы настроены правільна.
6. Праверце запампоўванне файлаў і аўтаматычныя запыты
Уразлівасці могуць эксплуатавацца праз адмыслова сфарміраваныя HTTP-запыты. Таму варта праверыць, якія тыпы даных і файлы сайт прымае ад наведвальнікаў.
Калі запампоўванне файлаў не патрэбнае, яго можна адключыць. Калі патрэбнае, варта абмежаваць дапушчальныя тыпы файлаў і памеры запамповак, а таксама праверыць серверныя абмежаванні памеру запытаў.
Абмежаванні неабходна ўжываць з улікам функцыянальнасці сайта. Занадта строгія правілы могуць парушыць адпраўку каментарыяў, працу формаў, запампоўванне выяў і абмен данымі з мабільнымі праграмамі.
Не варта блакіраваць усе POST-запыты або цалкам забараняць запампоўванне файлаў без папярэдняй праверкі. Гэта не ўніверсальнае вырашэнне праблемы.
7. Праверце, ці не было спроб узлому
Усталяванне выпраўлення закрывае вядомыя ўразлівасці, але не гарантуе, што сервер не быў скампраметаваны раней.
Пасля абнаўлення PHP адміністратарам варта праверыць журналы вэб-сервера і PHP, незвычайныя змены файлаў, новыя ўліковыя запісы, падазроныя працэсы і нечаканыя выходныя злучэнні.
Калі выяўлены прыкметы кампраметацыі, неабходна правесці дадатковае расследаванне, ліквідаваць наступствы і змяніць патэнцыйна закранутыя паролі і ключы доступу.
Пры падазрэнні на ўзлом не варта абмяжоўвацца выдаленнем асобных падазроных файлаў: важна высветліць, якім чынам зламыснік мог атрымаць доступ і ці захаваў ён магчымасць вярнуцца.
8. Што рабіць уладальнікам сайтаў проста зараз
Каб не прапусціць асноўныя дзеянні, выкарыстоўвайце наступны спіс:
- Праверыць версію PHP на серверы.
- Усталяваць выпраўленне або атрымаць пацвярджэнне ад хостынгу, што яно ўжо ўсталявана.
- Калі выпраўленне недаступнае, узгадніць часовыя меры абароны і план абнаўлення.
- Пераканацца, што Cloudflare праксіруе вэб-трафік сайта.
- Праверыць, што кіраваныя правілы WAF актыўныя.
- Праверыць SSL/TLS і магчымасць абыходу Cloudflare праз прамы доступ да сервера.
- Перагледзець абмежаванні на загрузку файлаў і памеры запытаў.
- Праверыць журналы на наяўнасць падазронай актыўнасці.
Галоўнае
Уразлівасці PHP2Shell патрабуюць аператыўных дзеянняў, але панікаваць і неадкладна адключаць кожны сайт на PHP не трэба. Неабходна ацаніць стан канкрэтнага сервера і ўжыць даступныя меры абароны.
Cloudflare можа знізіць рызыку выкарыстання ўразлівасцей дзякуючы WAF, але не замяняе выпраўленне самога PHP. Калі хостынг пакуль не прапануе выпраўленую версію, варта звярнуцца да правайдара, удакладніць магчымасць усталявання патчаў і выкарыстоўваць часовыя меры, рэкамендаваныя распрацоўшчыкамі.
Прыярытэт нумар адзін: выпраўлены PHP. Прыярытэт нумар два: дзейныя правілы Cloudflare і абмежаванне непатрэбнага доступу да сервера. Менавіта спалучэнне гэтых мер дазваляе істотна знізіць рызыку, пакуль уладальнік сайта і хостынг вырашаюць праблему.
Каментарыі0
Пакінуць каментарый
Увядзіце email — дашлём аднаразовы код. Без пароляў і рэгістрацыі.
Email патрэбны толькі для кода ўваходу і апавяшчэнняў пра адказы (адпісацца можна па спасылцы ў лісце). Ён не публікуецца і не перадаецца трэцім асобам. Пасля ўваходу cookie захоўваецца на 30 дзён. Даныя можна спампаваць або выдаліць у асабістым кабінеце.
Увядзіце код
Код адпраўлены на . Калі ліста няма некалькі хвілін — праверце «Спам» і «Промаакцыі».
Публічна паказваюцца імя і тэкст каментарыя. Email не публікуецца.
Хачу сабе на сайт такую сістэму каментарыяў