Крытычныя ўразлівасці PHP: што трэба зрабіць уладальнікам сайтаў, каб знізіць рызыку ўзлому<\/p>\n"},"content":{"rendered":"
Если у вас есть деньги<\/a> на хорошего специалиста по безопасности, то скорее всего вы уже работаете со мной … закройте эту статью или паглядзіце, як вы можаце падключыць да свайго сайта сапраўднага ШІ-маскота<\/a>. Калі грошай няма, то чытайце ніжэй.<\/p> Карацей кажучы, у PHP выяўлены крытычныя ўразлівасці. Яны атрымалі ацэнку 9,2 з 10 паводле шкалы CVSS 4.0, што адпавядае крытычнаму ўзроўню небяспекі. <\/strong>Пры пэўных умовах яны могуць дазволіць зламыснікам выконваць каманды на серверы без папярэдняй аўтарызацыі. Пра пагрозу паведаміла<\/a>агенцтва Reuters 21 кастрычніка. Паводле яго звестак, праблема закранула інфраструктуру ў некалькіх еўрапейскіх краінах, а некаторыя арганізацыі вырашылі часова адключыць свае сайты, каб знізіць рызыку магчымых кібератак.<\/p> Праблема атрымала назву PHP2Shell і звязана з уразлівасцямі CVE-2026-109618 і CVE-2026-109619, якія могуць дазволіць зламыснікам выконваць код на серверы без аўтарызацыі. У сваю чаргу Cloudflare разгарнула дадатковыя правілы абароны. Аднак не ўсе ўладальнікі сайтаў могуць неадкладна абнавіць сервернае праграмнае забеспячэнне.<\/p> У такой сітуацыі важна не абмяжоўвацца адной наладай, а паслядоўна ўзмацніць абарону на ўзроўні PHP, хостынгу і Cloudflare.<\/p> Самы надзейны спосаб вырашыць праблему — усталяваць выпраўленую версію PHP. Паводле афіцыйнага паведамлення распрацоўшчыкаў, выпраўленні выпушчаны для наступных галінак:<\/p> Калі выкарыстоўваецца больш ранні выпуск адной з гэтых галін, неабходна абнавіцца да выпраўленай версіі або больш новага выпуску, які змяшчае неабходныя выпраўленні.<\/p> Праверыць актуальныя рэкамендацыі можна на афіцыйным сайце PHP<\/a>.<\/p> Калі хостынг не прапануе пералічаныя версіі, не варта проста пераключацца на яшчэ больш старую версію PHP. Для PHP 8.1 і больш ранніх галін неабходна ўдакладніць у правайдара, ці даступныя выпраўленыя зборкі з перанесенымі выпраўленнямі бяспекі. Калі такіх зборак няма, трэба запланаваць пераход на версію, якая падтрымліваецца.<\/p> Важна:<\/strong> абнаўленне WordPress, яго тэмы і плагінаў само па сабе не ліквідуе ўразлівасці PHP. Выпраўленне павінна быць усталявана менавіта ў серверным асяроддзі.<\/p>\n<\/blockquote> Не ўсе ўладальнікі сайтаў маюць магчымасць самастойна змяняць серверныя налады. На звычайным віртуальным хостынгу версія PHP і параметры яе працы могуць кантралявацца правайдарам.<\/p> У гэтым выпадку неабходна як мага хутчэй звярнуцца ў службу падтрымкі і ўдакладніць:<\/p> Калі правайдар не можа забяспечыць выпраўленую версію, варта папрасіць яго прапанаваць бяспечны варыянт міграцыі. Не варта самастойна змяняць крытычныя параметры PHP, не разумеючы іх уплыву на працу сайта.<\/p> Для адміністратараў сервераў распрацоўшчыкі PHP таксама апісалі часовыя меры, якія зніжаюць рызыку асобных сцэнарыяў эксплуатацыі. Сярод іх абмежаванне памераў HTTP-запытаў і загрузак, адключэнне механізма Гэтыя параметры патрабуюць асцярожнасці. Напрыклад, змяненне 1. Найперш абнавіце PHP<\/h2>
\n
\n
2. Калі абнавіць PHP пакуль немагчыма<\/h2>
\n
session.upload_progress<\/code> і некаторыя дадатковыя налады апрацоўкі памылак.<\/p>memory_limit<\/code> або абмежаванняў загрузкі можа паўплываць на працу сайта. Іх варта ўжываць з улікам афіцыйных рэкамендацый PHP і канфігурацыі сервера.<\/p>\n