На этой неделе стали публичными две серьёзные уязвимости в PHP, получившие общее имя PHP2Shell. Эксплуатация позволяла захватить сервер и украсть данные. К уязвимостям подключили ИИ: по словам автора Windows Central, годами лежавшие в коде дыры вытащили на свет и начали использовать почти сразу после раскрытия. Часть интернета на время легла, пока ИТ-специалисты латали дыры.
Ваш ПК с Windows на этот раз вне зоны прямого удара — PHP работает на серверах, а не на десктопе. Но скорость, с которой ИИ находит и помогает эксплуатировать ошибки, — это уже новая реальность, и к следующему такому случаю лучше подготовиться заранее.
Что такое PHP и почему его падение заметно всем
PHP — язык программирования, которому больше тридцати лет, и на нём тихо работает значительная часть интернета. Почти 70% сайтов с известным серверным языком используют PHP, включая WordPress, Yahoo, Etsy и Wikipedia. Когда в нём находят дыру такого масштаба, последствия ощущают далеко за пределами круга разработчиков.
Эксплуатация PHP2Shell давала злоумышленникам возможность завладеть сервером и похитить данные. Как только информация стала публичной, бесчисленные атакующие направили на уязвимости ИИ-инструменты.
Реакция была быстрой: некоторые государственные структуры сняли свои сайты с публикации в ожидании исправления, ИТ-команды работали сверхурочно. Cloudflare, по данным компании, отбивал тысячи попыток эксплуатации ещё до публичного анонса. В цитате Cloudflare приводится динамика: тысячи попыток за 10 часов до анонса, десятки тысяч в первые 45 минут после, сотни тысяч в течение двух часов и миллионы сейчас.
Патч вышел, но старые версии остались без защиты
PHP Foundation выпустил патч 21 октября, однако он закрывает уязвимости только в новых версиях PHP. Миллионы сайтов и серверов работают на старых версиях, которые исправление не получили и, возможно, уже не будут в безопасности никогда.
Именно это делает ситуацию затяжной: даже если крупные площадки закроются быстро, долгоживущие установки PHP останутся лазейкой.
PHP2Shell — разовый случай или новая норма
Генеральный директор Chainguard Дэн Лоренц рассказал в LinkedIn, как его команда пыталась самостоятельно найти уязвимость. У них были ранние сведения о проблеме в PHP, и им хватило простого запроса к своей передовой модели — «найди плохие уязвимости в PHP». Без специальной магии ИИ и без глубоких знаний в области безопасности: мощная модель и короткая команда. По словам Лоренца, «это, к сожалению, новая норма для индустрии».
Вывод неприятный, но полезный: ИИ находит ошибки быстрее, чем люди успевают их исправлять, и история с PHP2Shell, вероятно, только начало волны критических проблем, угрожающих фундаменту интернета.
Что делать прямо сейчас пользователю Windows
Паниковать владельцу обычного ПК не нужно, но стоит понимать, что происходит. PHP не работает на вашем десктопе или ноутбуке, поэтому спешно патчить приложения и браузеры не требуется. Однако если вы пользуетесь сайтом, который оказался уязвим, ваши личные данные могут утечь.
Три быстрых шага, которые автор рекомендует сделать сразу:
- Не вводите учётные данные на сайтах, которые выглядят сломанными или ведут себя странно.
- Следите за почтой: такие инциденты обычно тянут за собой спам и фишинговые письма. Не скачивайте подозрительные файлы и не переходите по ссылкам, которых не ждали.
- Проверяйте банковские выписки на предмет подозрительной активности.
Как подготовиться к следующей крупной уязвимости
Мы входим в эпоху, когда можно исходить из того, что рано или поздно атака коснётся и вас. Цель — не отбить каждую атаку, а сделать последствия максимально простыми для устранения. Вот что для этого стоит настроить.
- Заведите менеджер паролей и выдайте каждому аккаунту уникальный сложный пароль.
- Где возможно, используйте приложение-аутентификатор или passkeys. Двухфакторная аутентификация по SMS становится всё более рискованной.
- Держите ПК обновлённым и не отключайте Windows Security.
- Включите оповещения об активности в банковских приложениях.
- Заведите отдельный адрес электронной почты для всего, что связано с финансами.
- Делайте резервные копии данных офлайн.
- Обновляйте прошивку Wi-Fi-роутера.
- Выводите из эксплуатации старое железо и устройства, которые больше не получают обновлений безопасности.
- Оставайтесь внимательными.
Обновление Windows и защитных компонентов системы — базовая гигиена, которая не раз выручала при подобных инцидентах. Если хотите держать систему в форме, пригодится материал о том, как гибернация и индексация изнашивают SSD и какие настройки стоит пересмотреть. А чтобы не пропустить очередной срочный патч, держите под рукой разбор последнего срока сертификата Secure Boot — он показывает, как быстро истекают даже инфраструктурные сроки. И ещё один повод не откладывать обновления: октябрьское обновление Windows 11 заодно чинит Bluetooth.
Итог
ИИ уже находит уязвимости быстрее, чем люди успевают их закрывать. PHP2Shell показал, как быстро дыра в популярном серверном языке превращается в глобальную проблему: патч вышел, но миллионы старых установок остались без исправления. Остановить следующую волну не в наших силах, но снизить риски — вполне. Начните с паролей, двухфакторной аутентификации, резервных копий и обновлений.
Частые вопросы
Кого касается PHP2Shell?
В первую очередь владельцев и администраторов серверов с PHP, особенно на старых версиях, для которых нет патча. Обычные пользователи Windows напрямую не затронуты, но могут пострадать, если их данные хранились на уязвимом сайте.
Нужно ли мне что-то патчить на своём ПК с Windows?
Нет. PHP работает на серверах, а не на десктопе, поэтому срочно обновлять приложения и браузеры из-за этого инцидента не требуется. Обновления Windows и Windows Security стоит держать включёнными в любом случае.
Что именно сделал патч от PHP Foundation?
Он вышел 21 октября и закрывает уязвимости только в новых версиях PHP. Старые версии исправление не получили, и, по оценке автора, могут уже не стать безопасными.
Как понять, что сайт пострадал от атаки?
Универсального признака нет. Автор советует не вводить логины и пароли на сайтах, которые выглядят сломанными или ведут себя необычно, и следить за фишинговыми письмами.
Почему Cloudflare отбивал атаки ещё до анонса уязвимостей?
По данным Cloudflare, попытки эксплуатации фиксировались за 10 часов до публичного объявления — тысячи попыток. После анонса их число выросло до десятков тысяч за 45 минут, сотен тысяч за два часа и миллионов сейчас.
При чём здесь ИИ, если уязвимости в PHP были и раньше?
Дыры лежали в коде годами. ИИ позволил быстро их найти и массово направить на эксплуатацию: по рассказу Дэна Лоренца из Chainguard, его команде хватило простого запроса к модели «найди плохие уязвимости в PHP».
Заменит ли passkey обычный пароль?
Автор рекомендует использовать приложение-аутентификатор или passkeys везде, где это возможно, поскольку двухфакторная аутентификация по SMS становится всё более рискованной. Конкретных сроков отказа от паролей в материале не приводится.
Что делать, если я пользуюсь старым сайтом на PHP?
Если вы администрируете такой сайт, проверьте, есть ли для вашей версии PHP патч от 21 октября. Если версия старая и исправления нет, стоит исходить из того, что она может остаться уязвимой, и не хранить на таком сервере лишние данные.
Источник: windowscentral.com