Государственные сайты начали отключать в разных странах мира, а специалисты по кибербезопасности предупреждают об угрозе для миллионов интернет-ресурсов. Причиной стали две критические уязвимости в языке программирования PHP, на котором работает огромная часть интернета. Что произошло, почему сайты приходится отключать и стоит ли опасаться за свои данные — разбирались эксперты в области PHP и кибербезопасности.
Что случилось
21 октября разработчики PHP выпустили экстренные обновления, устраняющие две серьёзные ошибки в безопасности. Обе получили 9,2 балла из 10 по международной шкале критичности. Это значит, что при определённых условиях злоумышленники могут проникнуть на сервер, даже не зная пароля.
В Европе после обнаружения двух критических ошибок PHP временно отключили ряд сайтов государственных органов, больниц и других организаций. Одну из уязвимостей выявили с помощью модели искусственного интеллекта GPT-5.6 Sol. Приостановка работы ресурсов стала мерой предосторожности до устранения угрозы.
Агентство национальной безопасности США и премьер-министр Японии Санаэ Такаити призвали владельцев сайтов установить обновления, а если сделать это оперативно нельзя — временно ограничить доступ к ресурсам.
По данным Reuters, временно недоступными стали некоторые государственные веб-сервисы Финляндии и Чехии, сайты МИД Бельгии и Министерства финансов Японии. Превентивные меры также приняли префектуры Франции, порт Роттердама, Футбольная ассоциация Нидерландов, политические партии и несколько больниц в этой стране. Часть систем временно закрыла Wikimedia Foundation, управляющая Wikipedia.
На предупреждение отреагировали государственные ведомства и частные компании в разных странах. В Финляндии временно отключили сайты нескольких министерств, Национальной земельной службы и других организаций. Восстановление некоторых сервисов может занять несколько недель: специалисты должны убедиться, что системы работают безопасно.
Вечером 22 октября стало известно, что Национальный координационный центр по компьютерным инцидентам, действующий при ФСБ России, предписал владельцам объектов критической информационной инфраструктуры временно ограничивать доступ к уязвимым сайтам вплоть до их полного отключения, если оперативно установить обновления безопасности PHP невозможно.
Согласно письму НКЦКИ, организациям следует обновить PHP до исправленной версии, после чего проверить серверы антивирусными средствами и изучить журналы событий на предмет возможного взлома. Если установить обновление в короткие сроки не удаётся, владельцам ресурсов предписано рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам вплоть до их отключения. О подозрительных инцидентах необходимо сообщать в дежурный центр государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).
Директива направлена владельцам объектов критической информационной инфраструктуры через ГосСОПКА. К этой категории относятся, в частности, информационные системы государственных органов, а также компаний финансового сектора, энергетики, транспорта, связи и здравоохранения, сообщает РБК.
В России хостинг-провайдеры начали уведомлять клиентов о необходимости обновить PHP. Рекомендации также опубликовали «Лаборатория Касперского» и «1С-Битрикс».
Технический директор Garda WAF Лука Сафонов ранее отмечал в комментарии РБК, что из-за широкого распространения PHP уязвимости могут затронуть десятки или даже сотни тысяч российских интернет-ресурсов. По его оценке, в ближайшее время можно ожидать существенного увеличения числа атак.
Что такое PHP и почему столько шума
PHP — один из самых распространённых языков программирования. Он существует около 30 лет и помогает сайтам обрабатывать информацию, взаимодействовать с базами данных и выполнять множество других задач.
Обычный пользователь с PHP напрямую не сталкивается. Когда человек открывает интернет-магазин, читает новости или заходит в личный кабинет, часть необходимых операций может выполняться именно благодаря этому языку.
По данным исследовательской компании W3Techs на 23 октября, PHP используют примерно 69% сайтов, для которых удалось определить серверный язык программирования. А среди сайтов на русском языке — около 90%. Именно поэтому обнаруженные ошибки вызвали такую тревогу.
Как через PHP можно взломать сайт
Проблема связана с двумя ошибками в работе PHP с памятью. При определённом сочетании условий они позволяют злоумышленнику запустить на чужом сервере собственный программный код. В худшем случае хакер способен получить доступ к данным, изменить содержимое сайта, внедрить вредоносную программу или нарушить работу сервиса.
Опасность вполне реальна. Специалисты Amazon зафиксировали попытки использования уязвимостей ещё 17 октября — за четыре дня до официального выхода исправлений. В дальнейшем количество подобных попыток увеличилось. При этом компания не установила, привели ли первые зафиксированные атаки к успешному взлому реальных систем.
Грозит ли что-то пользователям
Само по себе посещение сайта, использующего PHP, не означает, что злоумышленники получат доступ к вашему телефону или компьютеру. Обнаруженные ошибки затрагивают прежде всего серверы, на которых работают интернет-ресурсы. Однако при успешном взломе сервера под угрозой может оказаться информация, которую хранит сайт, в том числе персональные данные пользователей. И здесь многое зависит от устройства конкретного ресурса. Поэтому считать, что теперь любой сайт можно беспрепятственно взломать, было бы преувеличением.
Почему нельзя просто обновить сайты
Разработчики PHP уже подготовили исправления. Для современных и регулярно обслуживаемых ресурсов их установка иногда занимает считаные минуты. Гораздо сложнее приходится владельцам старых сайтов. Некоторые из них до сих пор используют версии PHP, которые разработчики перестали поддерживать. Чтобы устранить уязвимости, таким ресурсам приходится переходить на более современные версии языка.
А это способно нарушить работу сайта: отдельные программы и компоненты могут оказаться несовместимыми с обновлением. Поэтому специалистам необходимо проверить всю систему. Именно этим Удальцов объясняет отключения в Финляндии. Если быстро и безопасно обновить ресурс невозможно, иногда разумнее временно прекратить его работу.
Что делать российским сайтам и пользователям
Да, проблема касается и России. PHP используют сайты независимо от страны, в которой находятся их серверы. Под угрозой потенциально могут оказаться интернет-магазины, корпоративные ресурсы, информационные порталы и государственные сервисы, если они работают на уязвимых версиях языка. Однако достоверно оценить число таких сайтов в России пока невозможно: по словам Удальцова, определить используемую версию PHP снаружи обычно нельзя.
Владельцам ресурсов необходимо проверить программное обеспечение и установить исправления. Если сайт работает на чужом хостинге, следует уточнить у провайдера, обновил ли он PHP. Эксперт также советует регулярно создавать резервные копии сайтов. А если обновить PHP немедленно невозможно, администраторам стоит рассмотреть временное ограничение доступа к уязвимому сервису.
Обычному пользователю самостоятельно обновлять ничего не требуется. За безопасность серверов отвечают владельцы сайтов и обслуживающие их специалисты. Впрочем, нынешняя ситуация ещё раз напоминает, почему важно не использовать один пароль для разных ресурсов и включать двухфакторную аутентификацию там, где она доступна. Даже если злоумышленники доберутся до данных одного сайта, эти меры помогут защитить остальные аккаунты.
