\nPHP выкарыстоўваецца для апрацоўкі даных на серверы і забеспячэння працы мноства вэб-сайтаў. На ім працуюць папулярныя сістэмы кіравання кантэнтам, у тым ліку WordPress, Drupal і Joomla.<\/p>\n<\/blockquote>
Выяўленыя ўразлівасці атрымалі ацэнку 9,2 з 10 паводле шкалы CVSS 4.0, што адпавядае крытычнаму ўзроўню небяспекі. <\/strong>Пры пэўных умовах яны могуць дазволіць зламыснікам выконваць каманды на серверы без папярэдняй аўтарызацыі.<\/p>У выпадку паспяховай атакі гэта патэнцыйна дае магчымасць атрымаць доступ да даных, змяніць файлы сайта або скампраметаваць сервер. Рэальныя наступствы залежаць ад канфігурацыі сістэмы і ўсталяваных ахоўных механізмаў.<\/p>
Маштаб патэнцыйнай праблемы асабліва вялікі праз распаўсюджанасць PHP. Паводле звестак, прыведзеных Reuters, гэтая мова выкарыстоўваецца прыкладна на 75% сайтаў, для якіх вядомая серверная тэхналогія. WordPress, у сваю чаргу, забяспечвае працу прыкладна 43% усіх сайтаў у інтэрнэце.<\/p>
Якія сайты адключылі<\/h2>
На фоне выяўленых уразлівасцяў арганізацыі ў некалькіх еўрапейскіх краінах прынялі экстранныя меры бяспекі.<\/p>
\n- Нідэрланды.<\/strong> Часова адключылі шэраг дзяржаўных рэсурсаў, сайтаў бальніц, футбольнай асацыяцыі і палітычных партый.<\/li>\n\n\n\n
- Фінляндыя.<\/strong> Прыпыніла працу некаторых дзяржаўных вэб-сэрвісаў.<\/li>\n\n\n\n
- Францыя.<\/strong> Часова адключыла сайты мясцовых адміністрацыйных органаў.<\/li>\n\n\n\n
- Германія і Бельгія.<\/strong> Таксама паведамлялася пра часовае адключэнне асобных рэсурсаў.<\/li>\n\n\n\n
- Wikimedia Foundation.<\/strong> Паведаміла пра працу над ліквідацыяй уразлівасцей і часовым адключэннем некаторых сістэм да ўсталявання выпраўленняў.<\/li>\n<\/ul>
Пры гэтым часовае адключэнне сайта не азначае, што ён ужо быў узламаны. У шэрагу выпадкаў арганізацыі тлумачылі свае дзеянні неабходнасцю прадухіліць магчымыя атакі.<\/p>
Ці ёсць пацверджаныя выпадкі ўзлому<\/h2>
На момант публікацыі Reuters паведамляла пра першыя спробы атак. Пры гэтым аўстралійскае кіберагенцтва заяўляла, што яму не было вядома пра актыўнае выкарыстанне гэтых уразлівасцяў.<\/p>
Гэта важнае адрозненне: наяўнасць крытычнай уразлівасці азначае, што сістэма патэнцыйна можа быць атакаваная, але не даказвае, што зламыснікі ўжо атрымалі да яе доступ.<\/p>
Тым не менш адкладаць усталяванне выпраўленняў небяспечна. Пасля публічнага раскрыцця інфармацыі пра ўразлівасць зламыснікі могуць больш актыўна шукаць уразлівыя серверы і спрабаваць выкарыстаць вядомыя спосабы атакі.<\/p>
Чаму абнаўлення WordPress можа быць недастаткова<\/h2>
Уладальнікам сайтаў на WordPress варта ўлічваць, што абнаўленне самой CMS і абнаўленне PHP — гэта розныя працэсы.<\/p>
WordPress можа быць абноўлены да апошняй версіі, а сервер пры гэтым працягне працаваць на ўразлівай версіі PHP. Стандартныя аўтаматычныя абнаўленні WordPress не замяняюць абнаўлення сервернага праграмнага забеспячэння.<\/p>
У залежнасці ад тыпу хостынгу PHP абнаўляецца праз панэль кіравання або правайдарам. Таму ўладальнікам сайтаў важна высветліць, якая версія выкарыстоўваецца на серверы і ці ўсталявана выпраўленне, якое закрывае выяўленыя ўразлівасці.<\/p>
Таксама неабходна ўлічваць іншыя кампаненты інфраструктуры: плагіны, серверныя модулі, налады доступу і сродкі абароны.<\/p>
Што рабіць уладальнікам сайтаў<\/h2>
Распрацоўшчыкі PHP ужо выпусцілі выпраўленні. Для ўладальнікаў сайтаў і адміністратараў сервераў цяпер галоўнае не проста праверыць наяўнасць абнаўленняў, а пераканацца, што яны сапраўды ўсталяваныя і працуюць.<\/p>
Рэкамендуецца:<\/p>
\n- Праверыць версію PHP.<\/strong> Высветліць, якая версія выкарыстоўваецца на серверы, і супаставіць яе з афіцыйнымі рэкамендацыямі распрацоўшчыкаў.<\/li>\n\n\n\n
- Усталяваць выпраўленне.<\/strong> Абнавіць PHP да выпраўленай версіі, сумяшчальнай з праграмамі, якія выкарыстоўваюцца.<\/li>\n\n\n\n
- Звязацца з хостынг-правайдарам.<\/strong> Калі ўладальнік сайта не кіруе серверным асяроддзем самастойна, неабходна ўдакладніць, ці ўсталявана абнаўленне і якія меры абароны ўжытыя.<\/li>\n\n\n\n
- Праверыць журналы сервера.<\/strong> Пры наяўнасці падазронай актыўнасці варта праверыць логі і ацаніць, ці не было спроб эксплуатацыі ўразлівасцяў.<\/li>\n\n\n\n
- Праверыць бяспеку сайта.<\/strong> Пры прыкметах кампраметацыі спатрэбіцца дадатковае расследаванне, праверка файлаў, уліковых запісаў і доступаў, а таксама змена патэнцыйна закранутых уліковых даных.<\/li>\n<\/ol>
Калі выпраўленне пакуль недаступнае, варта звярнуцца да правайдара па рэкамендацыі наконт часовых мер абароны. У залежнасці ад сітуацыі можа спатрэбіцца абмежаванне доступу да ўразлівага сэрвісу або яго часовае адключэнне.<\/p>
Ці дапаможа Cloudflare<\/h2>
Выкарыстанне Cloudflare можа забяспечыць дадатковы ўзровень абароны дзякуючы фільтрацыі трафіку і правілам міжсеткавага экрана вэб-прыкладанняў. Аднак наяўнасць Cloudflare сама па сабе не гарантуе абароны ад эксплуатацыі канкрэтнай уразлівасці PHP.<\/p>
Магчымасці абароны залежаць ад характару атакі, налад сэрвісу і таго, ці праходзіць праз Cloudflare ўвесь адпаведны трафік. Таму яго не варта лічыць заменай абнаўленню PHP.<\/p>
Што гэта азначае для інтэрнэту<\/h2>
Цяперашняя сітуацыя паказвае, наколькі моцна бяспека мноства сайтаў залежыць ад параўнальна невялікай колькасці шырока выкарыстоўваных тэхналогій. Уразлівасць у серверным праграмным забеспячэнні здольная стварыць агульную праблему для дзяржаўных устаноў, камерцыйных кампаній, СМІ і незалежных праектаў.<\/p>
Часовае адключэнне сайта ў такіх абставінах можа быць апраўданай мерай засцярогі, але не з'яўляецца абавязковым рашэннем для кожнага рэсурсу. Неабходныя дзеянні залежаць ад версіі PHP, канфігурацыі сервера, даступнасці выпраўлення і ацэнкі рызыкі.<\/p>
Уладальнікам сайтаў варта арыентавацца на афіцыйныя рэкамендацыі распрацоўшчыкаў PHP і свайго хостынг-правайдара, а не толькі на паведамленні пра маштаб пагрозы.<\/p>
Галоўная выснова:<\/strong> выяўленне крытычных уразлівасцей не азначае, што ўсе сайты на PHP узламаныя або абавязкова павінны быць адключаныя. Аднак калі сервер выкарыстоўвае ўразлівую версію PHP, своечасовае абнаўленне і праверка бяспекі становяцца першачарговымі задачамі.<\/p>Калі ваш сайт на WordPress, то звяжыцеся са мной<\/strong><\/a>. <\/p>\n","protected":false},"excerpt":{"rendered":"В Европе временно отключают государственные сайты, ресурсы больниц и других организаций из-за критических уязвимостей в PHP, одном из самых распространённых языков программирования для веб-сайтов. Разработчики уже выпустили исправления, однако владельцам ресурсов необходимо как можно быстрее установить обновления и проверить безопасность своих серверов. Об угрозе сообщило агентство Reuters 21 октября. По его данным, проблема затронула инфраструктуру […]<\/p>\n","protected":false},"author":1,"featured_media":440,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-848","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"_links":{"self":[{"href":"https:\/\/sdwski.com\/by\/wp-json\/wp\/v2\/posts\/848","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sdwski.com\/by\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sdwski.com\/by\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sdwski.com\/by\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/sdwski.com\/by\/wp-json\/wp\/v2\/comments?post=848"}],"version-history":[{"count":3,"href":"https:\/\/sdwski.com\/by\/wp-json\/wp\/v2\/posts\/848\/revisions"}],"predecessor-version":[{"id":852,"href":"https:\/\/sdwski.com\/by\/wp-json\/wp\/v2\/posts\/848\/revisions\/852"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sdwski.com\/by\/wp-json\/wp\/v2\/media\/440"}],"wp:attachment":[{"href":"https:\/\/sdwski.com\/by\/wp-json\/wp\/v2\/media?parent=848"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sdwski.com\/by\/wp-json\/wp\/v2\/categories?post=848"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sdwski.com\/by\/wp-json\/wp\/v2\/tags?post=848"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}