PHP2Shell: Спешни обновления заради риск от хакери

Две критични уязвимости в езика за програмиране PHP поставиха под сериозен риск уебсайтове и онлайн услуги по целия свят. Пропуските в сигурността, известни като PHP2Shell, позволяват на нападатели да изпълняват злонамерен код на уязвими сървъри от разстояние, без да е необходим потребителски достъп.

Разработчиците на PHP публикуваха извънредни актуализации, а европейските институции призоваха организациите да ги инсталират незабавно.

Уязвимостите са регистрирани под идентификаторите CVE-2026-109618 и CVE-2026-109619. И двете получават оценка 9,2 от 10 по международната система CVSS 4.0, което ги поставя в категорията на критичните рискове за информационната сигурност.

Според съвместното предупреждение на Европейската агенция за киберсигурност ENISA и европейските институции атакуващите могат да се възползват от пропуските, за да изпълняват произволен код на засегнатите сървъри.

При успешна атака това може да доведе до компрометиране на уебсайтове, кражба на чувствителна информация и използване на сървърите за последващи кибератаки.

Опасността е особено сериозна заради широкото разпространение на PHP. Езикът се използва от голям брой уебсайтове, електронни магазини, новинарски портали и системи за управление на съдържание.

Сред популярните платформи, които разчитат на PHP, са WordPress, Drupal и Joomla. Това обаче не означава, че всеки сайт, изграден с тях, непременно е компрометиран. Рискът зависи от използваната версия на PHP и от това дали необходимите актуализации са приложени.

Европейският екип за реагиране при компютърни инциденти CERT-EU предупреди организациите да предприемат незабавни мерки. В официалния си бюлетин за сигурност службата препоръчва да бъдат установени всички засегнати приложения и да се приложат корекциите възможно най-бързо.

Когато незабавното обновяване не е възможно, организациите трябва да обмислят временно изолиране на уязвимите приложения от публичния интернет, докато бъдат защитени.

Разработчиците на PHP вече са публикували поправките. Според информацията в официалния архив на PHP и техническите данни на нидерландския Национален център за киберсигурност уязвимостите са отстранени в следните версии:

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35

По-старите версии, които вече не получават официална поддръжка, също могат да бъдат засегнати. При тях е необходимо преминаване към поддържана версия или прилагане на подходяща корекция от доставчика на операционната система.

Технически двата пропуска са свързани с неправилна обработка на паметта в PHP. При определени условия злонамерено подготвени заявки могат да предизвикат грешки, които позволяват изпълнение на код на сървъра.

Особено тревожно е, че атаката може да бъде извършена без предварително удостоверяване на потребителя. Това увеличава риска за публично достъпните уеб приложения.

Допълнително напрежение предизвика преждевременното разпространение на информация за уязвимостите. Подробности за тях станаха публични преди първоначално планираното официално оповестяване, което наложи ускорено публикуване на защитните актуализации.

Според специализираното издание CyberScoop разработчиците са били принудени да реагират извън обичайния график за обновяване на PHP.

Предупреждението засяга пряко и собствениците на сайтове в България, включително онлайн магазини, медии, фирмени страници и други услуги, работещи с PHP.

За администраторите най-важната стъпка е да проверят версията на PHP, използвана от сървъра или хостинг услугата, и да потвърдят, че необходимата корекция е приложена.

При споделен хостинг обновяването често се извършва от доставчика, но собствениците на сайтове трябва да проверят дали тяхната услуга действително използва защитена версия.

Актуализирането само на WordPress, неговите теми и разширения не е достатъчно, ако самата PHP среда остава уязвима.

Специалистите препоръчват също преглед на сървърните журнали за подозрителна активност и проверка за признаци на вече извършено проникване. Инсталирането на поправка предотвратява използването на конкретните пропуски занапред, но не премахва автоматично евентуален злонамерен код, внедрен преди обновяването.

Към момента основната препоръка на европейските органи по киберсигурност е категорична: всички организации, използващи засегнати версии на PHP, трябва да приложат защитните актуализации възможно най-бързо, като приоритет са сървърите и приложенията с публичен достъп.

Случаят PHP2Shell показва колко широко могат да се отразят уязвимости в основни технологии, върху които функционират милиони интернет услуги.