Если у вас есть деньги на хорошего специалиста по безопасности, то скорее всего вы уже работаете со мной … закройте эту статью или подивіться, як ви можете підключити до свого сайту справжнього ШІ-маскота. Якщо грошей немає, читайте далі.
Якщо коротко, то в PHP виявлено критичні вразливості. Вони отримали оцінку 9,2 із 10 за шкалою CVSS 4.0, що відповідає критичному рівню небезпеки. За певних умов вони можуть дозволити зловмисникам виконувати команди на сервері без попередньої авторизації. Про загрозу повідомилоагентство Reuters 21 жовтня. За його даними, проблема торкнулася інфраструктури в кількох європейських країнах, а деякі організації вирішили тимчасово відключити свої сайти, щоб знизити ризик можливих кібератак.
Проблема отримала назву PHP2Shell і пов’язана з уразливостями CVE-2026-109618 і CVE-2026-109619, які можуть дозволити зловмисникам виконувати код на сервері без авторизації. Зі свого боку Cloudflare розгорнув додаткові захисні правила. Однак не всі власники сайтів можуть негайно оновити серверне програмне забезпечення.
У такій ситуації важливо не обмежуватися одним налаштуванням, а послідовно посилити захист на рівні PHP, хостингу та Cloudflare.
1. Насамперед оновіть PHP
Найнадійніший спосіб усунути проблему — встановити виправлену версію PHP. Згідно з офіційним повідомленням розробників, виправлення випущено для таких гілок:
- PHP 8.5.12;
- PHP 8.4.27;
- PHP 8.3.36;
- PHP 8.2.35.
Якщо використовується більш ранній випуск однієї з цих гілок, необхідно оновитися до виправленої версії або новішого випуску, що містить необхідні виправлення.
Перевірити актуальні рекомендації можна на офіційному сайті PHP.
Якщо хостинг не пропонує зазначені версії, не варто просто переходити на ще старішу версію PHP. Для PHP 8.1 і більш ранніх гілок необхідно уточнити в провайдера, чи доступні виправлені збірки з перенесеними виправленнями безпеки. Якщо таких збірок немає, потрібно планувати перехід на підтримувану версію.
Важливо: оновлення WordPress, його теми та плагінів саме собою не усуває вразливості PHP. Виправлення має бути встановлене саме в серверному середовищі.
2. Якщо оновити PHP поки неможливо
Не всі власники сайтів мають можливість самостійно змінювати серверні налаштування. На звичайному віртуальному хостингу версія PHP і параметри її роботи можуть контролюватися провайдером.
У цьому разі необхідно якомога швидше звернутися до служби підтримки й уточнити:
- яка версія PHP використовується для сайту;
- чи встановлено виправлення CVE-2026-109618 і CVE-2026-109619;
- чи доступна виправлена збірка для поточного тарифу;
- які тимчасові заходи захисту можна застосувати до оновлення.
Якщо провайдер не може надати виправлену версію, слід попросити його запропонувати безпечний варіант міграції. Не варто самостійно змінювати критичні параметри PHP, не розуміючи їхнього впливу на роботу сайту.
Для адміністраторів серверів розробники PHP також описали тимчасові заходи, що знижують ризик окремих сценаріїв експлуатації. Серед них — обмеження розмірів HTTP-запитів і завантажень, вимкнення механізму session.upload_progress і деякі додаткові налаштування обробки помилок.
Ці параметри потребують обережності. Наприклад, зміна memory_limit або обмежень завантаження може вплинути на роботу сайту. Їх слід застосовувати з урахуванням офіційних рекомендацій PHP і конфігурації сервера.
Жоден із перелічених заходів не забезпечує повноцінного усунення вразливостей. Повні рекомендації опубліковані на php.net.
3. Перевірте захист Cloudflare
Cloudflare повідомив, що розгорнув спеціальні правила міжмережевого екрана вебзастосунків (WAF) для захисту від PHP2Shell. За заявою компанії, захист став доступним клієнтам з активним WAF, включно з безплатним тарифом, до публічного розкриття інформації про вразливості.
Це означає, що власникам сайтів, які використовують Cloudflare, варто насамперед перевірити поточні налаштування, а не створювати випадкові правила самостійно.
Рекомендується виконати такі дії:
Крок 1. Переконайтеся, що сайт проксіюється через Cloudflare.
У розділі DNS перевірте записи домену та піддомену www. Для веб-записів, які мають проходити через Cloudflare, має бути ввімкнено проксіювання, позначене помаранчевою хмарою.
Це допомагає спрямовувати відповідний HTTP- і HTTPS-трафік через захисну інфраструктуру Cloudflare. Однак необхідно окремо переконатися, що прямий доступ до сервера не дає змоги обійти цей захист.
Крок 2. Перевірте правила WAF.
Відкрийте панель Cloudflare, виберіть домен і перейдіть до розділу Security, а потім — Security rules або Managed rules.
Перевірте, чи ввімкнено доступний набір керованих правил Cloudflare. Для безкоштовного тарифу компанія повідомила про додавання правил до Cloudflare Managed Free Ruleset.
Не вимикайте чинні правила безпеки й не змінюйте їхні дії без потреби. Якщо для вашого сайту доступні спеціальні правила, переконайтеся, що їх увімкнено.
Крок 3. Стежте за подіями безпеки.
У розділі Security Events або Security Analytics перевіряйте заблоковані запити, спрацювання WAF і незвичну активність.
Водночас не слід вважати кожне заблоковане звернення доказом успішної атаки. Журнали допомагають виявляти підозрілі запити, але самі собою не підтверджують, що сервер було зламано.
Докладніше про захисні заходи можна прочитати в офіційному повідомленні Cloudflare про PHP2Shell.
4. Обмежте можливість обходу Cloudflare
Навіть якщо сайт використовує Cloudflare, сервер може залишатися доступним безпосередньо за IP-адресою. У такому разі запити можуть обходити WAF та інші правила, налаштовані в Cloudflare.
Якщо хостинг дає змогу керувати доступом до сервера, варто обмежити вхідні HTTP- і HTTPS-з’єднання так, щоб до вебсервера могли звертатися лише дозволені джерела, включно з актуальними діапазонами IP-адрес Cloudflare.
Перед зміною правил необхідно перевірити конфігурацію сервера та інші використовувані сервіси. Помилка може зробити сайт недоступним або порушити роботу пошти та інших служб.
На віртуальному хостингу таке налаштування зазвичай потрібно узгоджувати з провайдером.
5. Перевірте SSL/TLS
У панелі Cloudflare відкрийте розділ SSL/TLS і перевірте режим шифрування з’єднання між відвідувачем, Cloudflare та вихідним сервером.
Якщо на сервері встановлено дійсний сертифікат, що підтримує перевірку автентичності, рекомендується використовувати режим Full (strict).
Цей режим захищає з’єднання між Cloudflare і сервером від низки ризиків, пов’язаних із неправильним налаштуванням шифрування та перевіркою сертифіката. Однак він не усуває вразливості PHP і не замінює оновлення програмного забезпечення.
Не перемикайте режим навмання: спочатку переконайтеся, що сертифікат на сервері налаштовано правильно.
6. Перевірте завантаження файлів і автоматичні запити
Вразливості можуть експлуатуватися через спеціально сформовані HTTP-запити. Тому варто перевірити, які типи даних і файли сайт приймає від відвідувачів.
Якщо завантаження файлів не потрібне, його можна вимкнути. Якщо потрібне, варто обмежити допустимі типи файлів і розміри завантажень, а також перевірити серверні обмеження розміру запитів.
Обмеження необхідно застосовувати з урахуванням функціональності сайту. Надто суворі правила можуть порушити надсилання коментарів, роботу форм, завантаження зображень та обмін даними з мобільними застосунками.
Не слід блокувати всі POST-запити або повністю забороняти завантаження файлів без попередньої перевірки. Це не універсальне розв’язання проблеми.
7. Перевірте, чи не було спроб злому
Установлення виправлення усуває відомі вразливості, але не гарантує, що сервер не було скомпрометовано раніше.
Після оновлення PHP адміністраторам слід перевірити журнали вебсервера та PHP, незвичні зміни файлів, нові облікові записи, підозрілі процеси й неочікувані вихідні з’єднання.
Якщо виявлено ознаки компрометації, необхідно провести додаткове розслідування, усунути наслідки та змінити паролі й ключі доступу, яких це могло торкнутися.
Якщо є підозра на злам, не варто обмежуватися видаленням окремих підозрілих файлів: важливо з’ясувати, як зловмисник міг отримати доступ і чи зберіг він можливість повернутися.
8. Що робити власникам сайтів просто зараз
Щоб не пропустити основні кроки, скористайтеся наведеним нижче списком:
- Перевірити версію PHP на сервері.
- Установити виправлення або отримати від хостинг-провайдера підтвердження, що його вже встановлено.
- Якщо виправлення недоступне, узгодити тимчасові заходи захисту та план оновлення.
- Переконатися, що Cloudflare проксіює вебтрафік сайту.
- Перевірити, чи активні керовані правила WAF.
- Перевірити SSL/TLS і можливість обходу Cloudflare через прямий доступ до сервера.
- Переглянути обмеження на завантаження файлів і розміри запитів.
- Перевірити журнали на наявність підозрілої активності.
Головне
Уразливості PHP2Shell вимагають оперативних дій, але панікувати й негайно відключати кожен сайт на PHP не потрібно. Необхідно оцінити стан конкретного сервера та застосувати доступні заходи захисту.
Cloudflare може знизити ризик експлуатації вразливостей завдяки WAF, але не замінює виправлення самого PHP. Якщо хостинг поки не пропонує виправлену версію, слід звернутися до провайдера, уточнити можливість установлення патчів і застосувати тимчасові заходи, рекомендовані розробниками.
Пріоритет номер один: виправлений PHP. Пріоритет номер два: чинні правила Cloudflare та обмеження непотрібного доступу до сервера. Саме поєднання цих заходів дає змогу суттєво знизити ризик, поки власник сайту та хостинг усувають проблему.
Коментарі0
Залишити коментар
Введіть email — надішлемо одноразовий код. Без паролів і реєстрації.
Email потрібен лише для отримання коду входу та сповіщень про відповіді (відписатися можна за посиланням у листі). Він не публікується й не передається третім особам. Після входу файл cookie зберігається протягом 30 днів. Дані можна завантажити або видалити в особистому кабінеті.
Введіть код
Код надіслано на . Якщо листа немає кілька хвилин — перевірте «Спам» і «Промоакції».
Публічно показуються ім’я та текст коментаря. Email не публікується.
Хочу таку систему коментарів собі на сайт