«Миллионы сайтов под угрозой»: красноярский эксперт призвал владельцев срочно проверить свои онлайн-сервисы

Владельцам сайтов нужно срочно узнать у своего программиста, обновлен ли на сервере PHP. Об этом предупредил красноярский специалист по кибербезопасности Денис Якунин.

В PHP нашли две уязвимости, через которые сайт можно взломать без логина и пароля. Разработчики PHP выпустили исправления 21 октября внеочередным обновлением. Обе уязвимости получили по 9,2 балла из 10 по шкале CVSS, это критический уровень угрозы. Уязвимыми оказались сайты по всему миру.

Уязвимости нашли в самом языке, поэтому под угрозой любой сайт на PHP, на каком бы движке он ни был сделан. Злоумышленник может запускать на сервере свои команды, например выгрузить базу клиентов или встроить в сайт вредоносный код.

Свое предупреждение Якунин записал на видео.

«Если у вас есть сайт, срочно сегодня звоните своему айтишнику. Если ваш айтишник сказал, что ваш сайт защищен, проверьте, задайте ему три вопроса. Первый: наш сайт работает на PHP? Второй: какая версия установлена? И третий: закрыта ли вчерашняя уязвимость? И потребуйте подтверждения обновления», — говорит он.

Исправленные версии PHP — 8.5.12, 8.4.27, 8.3.36, 8.2.35 и все более новые. Для старых версий официальных обновлений не будет, и их, скорее всего, придется менять на новый PHP.

В подписи к ролику Якунин отдельно пишет про обновление самих сайтов.

«Если вам говорят „у нас обновлен WordPress“ — этого недостаточно. PHP обновляется отдельно», — пишет он.

С сайтами на «Битриксе» так же. В компании пояснили, что обновление их продукта не заменяет обновление PHP на сервере.

На обычном хостинге версию PHP видно в панели управления. Многие хостинг-провайдеры могли уже установить исправления сами, но проверить это все равно нужно. Переписывать сайт, по словам Якунина, обычно не требуется. А если сайт долго работал на старой версии, его лучше проверить еще и на следы взлома.

В конце августа Якунин в колонке для NGS24.RU рассказывал, что после обнаружения уязвимостей хакеры стали быстрее начинать атаки. А в октябре в интервью объяснил, кто может прочитать вашу переписку с нейросетью.