Kritinės PHP spragos: ką svetainių savininkai turėtų padaryti, kad sumažintų įsilaužimo riziką<\/p>\n"},"content":{"rendered":"
Если у вас есть деньги<\/a> на хорошего специалиста по безопасности, то скорее всего вы уже работаете со мной … закройте эту статью или pažiūrėkite, kaip prie savo svetainės galite prijungti tikrą DI talismaną<\/a>. Jei pinigų nėra, skaitykite toliau.<\/p> Trumpai tariant, PHP aptikta kritinių pažeidžiamumų. Pagal CVSS 4.0 skalę jie įvertinti 9,2 balo iš 10, o tai atitinka kritinį pavojingumo lygį. <\/strong>Tam tikromis sąlygomis jie gali leisti piktavaliams vykdyti komandas serveryje be išankstinio autorizavimo. Apie grėsmę pranešė<\/a>agentūra Reuters spalio 21 d. Jos duomenimis, problema paveikė infrastruktūrą keliose Europos šalyse, o kai kurios organizacijos nusprendė laikinai išjungti savo svetaines, kad sumažintų galimų kibernetinių atakų riziką.<\/p> Problema pavadinta PHP2Shell ir yra susijusi su pažeidžiamumais CVE-2026-109618 bei CVE-2026-109619, kurie gali leisti piktavaliams vykdyti kodą serveryje be autorizavimo. Savo ruožtu Cloudflare įdiegė papildomas apsaugos taisykles. Tačiau ne visi svetainių savininkai gali nedelsdami atnaujinti serverio programinę įrangą.<\/p> Tokioje situacijoje svarbu neapsiriboti viena nuostata, o nuosekliai stiprinti apsaugą PHP, prieglobos ir Cloudflare lygmenimis.<\/p> Patikimiausias būdas išspręsti problemą – įdiegti pataisytą PHP versiją. Remiantis oficialiu kūrėjų pranešimu, pataisos išleistos šioms šakoms:<\/p> Jei naudojama ankstesnė kurios nors iš šių šakų laida, būtina atnaujinti į pataisytą versiją arba naujesnę laidą, kurioje yra reikiamos pataisos.<\/p> Naujausias rekomendacijas galima rasti oficialioje PHP svetainėje<\/a>.<\/p> Jei prieglobos paslaugų teikėjas nesiūlo išvardytų versijų, nereikėtų tiesiog pereiti prie dar senesnės PHP versijos. Jei naudojama PHP 8.1 ar ankstesnė šaka, būtina pasiteirauti paslaugų teikėjo, ar galima naudoti pataisytas versijas su į jas perkeltomis saugumo pataisomis. Jei tokių versijų nėra, reikėtų planuoti perėjimą prie palaikomos versijos.<\/p> Svarbu:<\/strong> WordPress, jo temos ir įskiepių atnaujinimas savaime nepašalina PHP pažeidžiamumų. Pataisa turi būti įdiegta būtent serverio aplinkoje.<\/p>\n<\/blockquote> Ne visi svetainių savininkai gali savarankiškai keisti serverio nuostatas. Įprastame virtualiajame priegloboje PHP versiją ir jos veikimo parametrus gali kontroliuoti paslaugų teikėjas.<\/p> Tokiu atveju būtina kuo greičiau kreiptis į pagalbos tarnybą ir išsiaiškinti:<\/p> Jei paslaugų teikėjas negali pateikti pataisytos versijos, reikėtų paprašyti, kad jis pasiūlytų saugų perkėlimo variantą. Nereikėtų savarankiškai keisti kritinių PHP parametrų, nesuprantant jų įtakos svetainės veikimui.<\/p> Serverių administratoriams PHP kūrėjai taip pat aprašė laikinas priemones, mažinančias tam tikrų pažeidžiamumo išnaudojimo scenarijų riziką. Tarp jų – HTTP užklausų ir įkėlimų dydžio ribojimas, mechanizmo išjungimas Šiuos parametrus reikia keisti atsargiai. Pavyzdžiui, pakeitus 1. Pirmiausia atnaujinkite PHP<\/h2>
\n
\n
2. Jei kol kas neįmanoma atnaujinti PHP<\/h2>
\n
session.upload_progress<\/code> ir kai kurios papildomos klaidų apdorojimo nuostatos.<\/p>memory_limit<\/code> arba apribojus įkėlimą gali sutrikti svetainės veikimas. Juos reikėtų taikyti atsižvelgiant į oficialias PHP rekomendacijas ir serverio konfigūraciją.<\/p>\n