Разработчики PHP готовят патчи для двух критических уязвимостей, есть риск отключения сайтов

21 окт (Рейтер) - Разработчики широко используемого языка программирования PHP в среду сообщили, что выпустят обновления для устранения двух критических уязвимостей. Представители ведомства ЕС в сфере кибербезопасности предупредили, что организациям, которые не смогут установить обновления, следует отключить затронутые сайты.

PHP используется на большой части веб-приложений, и в последние сутки усилились спекуляции о том, что сайты на этом программном обеспечении могут подвергнуться серьезным кибератакам.

"PHP везде. Он незаметно обеспечивает работу сайтов на WordPress, Drupal, Joomla и Magento, платформ виртуального хостинга, панелей управления и множества программ, которые даже не афишируют, что работают на PHP", - говорится в сообщении компании Huntress.

В уведомлении по вопросам безопасности компания-разработчик PHP сообщила, что обе уязвимости получили оценку 9,2 балла по шкале CVSS v4.0, и призвала пользователей установить обновления как только новая версия станет доступна

По сообщению PHP, выпуск обновления, устраняющего обе уязвимости, запланирован на 14:00 на 17:00 МСК в среду.

В опубликованном во вторник предупреждении Компьютерная группа реагирования на чрезвычайные ситуации ЕС (CERT-EU) предупредила, что оценка в 9,2 балла свидетельствует о риске удаленного выполнения кода без аутентификации. Такие уязвимости позволяют хакерам запускать вредоносный код на уязвимых системах без необходимости входа в них.

CERT-EU призвала организации подготовиться к немедленной установке обновлений на затронутые системы и рекомендовала тем, кто не сможет сделать это оперативно, рассмотреть возможность отключения затронутых сайтов.

Австралийский центр кибербезопасности (ACSC) выпустил аналогичные рекомендации, призвав организации выявить системы с PHP в своей инфраструктуре, подготовиться к установке обновлений и отслеживать признаки вредоносной активности в приложениях.

Плагин безопасности Wordfence, предназначенный для защиты сайтов на WordPress, сообщил, что все сайты на WordPress работают на сервере с установленным PHP. Компания предупредила, что автоматические обновления не устранят эту уязвимость, и рекомендовала владельцам сайтов выяснить, кто отвечает за обновление PHP на их ресурсах.

Команда безопасности PHP сообщила, что сведения о затронутых версиях, уязвимостях, и исправленных версиях будут опубликованы после выпуска патчей.