Критичні вразливості PHP: що потрібно зробити власникам сайтів, щоб знизити ризик злому<\/p>\n"},"content":{"rendered":"
Если у вас есть деньги<\/a> на хорошего специалиста по безопасности, то скорее всего вы уже работаете со мной … закройте эту статью или подивіться, як ви можете підключити до свого сайту справжнього ШІ-маскота<\/a>. Якщо грошей немає, читайте далі.<\/p> Якщо коротко, то в PHP виявлено критичні вразливості. Вони отримали оцінку 9,2 із 10 за шкалою CVSS 4.0, що відповідає критичному рівню небезпеки. <\/strong>За певних умов вони можуть дозволити зловмисникам виконувати команди на сервері без попередньої авторизації. Про загрозу повідомило<\/a>агентство Reuters 21 жовтня. За його даними, проблема торкнулася інфраструктури в кількох європейських країнах, а деякі організації вирішили тимчасово відключити свої сайти, щоб знизити ризик можливих кібератак.<\/p> Проблема отримала назву PHP2Shell і пов’язана з уразливостями CVE-2026-109618 і CVE-2026-109619, які можуть дозволити зловмисникам виконувати код на сервері без авторизації. Зі свого боку Cloudflare розгорнув додаткові захисні правила. Однак не всі власники сайтів можуть негайно оновити серверне програмне забезпечення.<\/p> У такій ситуації важливо не обмежуватися одним налаштуванням, а послідовно посилити захист на рівні PHP, хостингу та Cloudflare.<\/p> Найнадійніший спосіб усунути проблему — встановити виправлену версію PHP. Згідно з офіційним повідомленням розробників, виправлення випущено для таких гілок:<\/p> Якщо використовується більш ранній випуск однієї з цих гілок, необхідно оновитися до виправленої версії або новішого випуску, що містить необхідні виправлення.<\/p> Перевірити актуальні рекомендації можна на офіційному сайті PHP<\/a>.<\/p> Якщо хостинг не пропонує зазначені версії, не варто просто переходити на ще старішу версію PHP. Для PHP 8.1 і більш ранніх гілок необхідно уточнити в провайдера, чи доступні виправлені збірки з перенесеними виправленнями безпеки. Якщо таких збірок немає, потрібно планувати перехід на підтримувану версію.<\/p> Важливо:<\/strong> оновлення WordPress, його теми та плагінів саме собою не усуває вразливості PHP. Виправлення має бути встановлене саме в серверному середовищі.<\/p>\n<\/blockquote> Не всі власники сайтів мають можливість самостійно змінювати серверні налаштування. На звичайному віртуальному хостингу версія PHP і параметри її роботи можуть контролюватися провайдером.<\/p> У цьому разі необхідно якомога швидше звернутися до служби підтримки й уточнити:<\/p> Якщо провайдер не може надати виправлену версію, слід попросити його запропонувати безпечний варіант міграції. Не варто самостійно змінювати критичні параметри PHP, не розуміючи їхнього впливу на роботу сайту.<\/p> Для адміністраторів серверів розробники PHP також описали тимчасові заходи, що знижують ризик окремих сценаріїв експлуатації. Серед них — обмеження розмірів HTTP-запитів і завантажень, вимкнення механізму Ці параметри потребують обережності. Наприклад, зміна 1. Насамперед оновіть PHP<\/h2>
\n
\n
2. Якщо оновити PHP поки неможливо<\/h2>
\n
session.upload_progress<\/code> і деякі додаткові налаштування обробки помилок.<\/p>memory_limit<\/code> або обмежень завантаження може вплинути на роботу сайту. Їх слід застосовувати з урахуванням офіційних рекомендацій PHP і конфігурації сервера.<\/p>\n