Разработчики PHP 21 октября выпустят экстренные обновления безопасности, призванные устранить две критические уязвимости в популярном языке программирования. Проблемы получили оценку 9,2 балла из 10 по шкале CVSS и потенциально способны нарушить работу сайтов и веб-приложений.
PHP используется на значительной части веб-серверов, поэтому масштаб проблемы может оказаться заметным для интернет-магазинов, корпоративных порталов, систем управления контентом и API. Уязвимость особенно опасна для инфраструктуры, где PHP-приложения доступны из интернета и работают с важными данными.
Патч ожидается примерно в 10:00 по восточному времени США, то есть ориентировочно в 17:00 по московскому времени. Разработчики не исключают более раннюю публикацию исправления, если подготовка пакетов завершится раньше запланированного срока.
Что известно о риске
Подробности о механизме эксплуатации пока не раскрываются в полном объёме. Такой подход позволяет администраторам сначала установить обновления и уменьшает вероятность того, что злоумышленники успеют создать рабочие инструменты для атак до массового обновления серверов.
Кибербезопасностные ведомства уже допускают более жёсткую временную меру: если организация не может быстро применить исправление, ей следует рассмотреть ограничение доступа к сайту или временное отключение уязвимой системы. Это особенно актуально для сервисов, которые обрабатывают платёжные сведения, персональные данные или внутреннюю документацию.
После выхода исправлений администраторам нужно проверить используемую ветку PHP, обновить пакеты через штатный менеджер операционной системы или панель хостинга, а затем перезапустить PHP-FPM, веб-сервер и связанные контейнеры. Простая установка нового пакета без перезапуска служб может не привести к фактическому переходу на защищённую версию.
До обновления рекомендуется ограничить доступ к административным панелям, усилить фильтрацию входящих запросов, проверить журналы веб-сервера и временно отключить необязательные интеграции. При обнаружении подозрительной активности следует сохранить логи до их ротации и провести проверку учётных записей с повышенными правами.
Почему обновление нельзя откладывать
PHP поддерживает несколько стабильных веток одновременно: обычно каждая версия получает около двух лет активной поддержки и ещё два года исправлений безопасности. Однако конкретный срок зависит от версии, поэтому серверы на устаревших релизах могут не получить необходимый патч вовсе. Проверить текущую версию можно командой php -v, а список установленных модулей - командой php -m.
Для владельцев сайтов на популярных CMS важно обновить не только сам интерпретатор PHP, но и плагины, темы, фреймворки и зависимости. Даже если уязвимость находится в ядре языка, старые компоненты могут сохранять небезопасные настройки или мешать корректному переходу на исправленный релиз.
Операторам российских сайтов стоит заранее проверить, как обновление повлияет на совместимость с CMS, платёжными модулями и панелями управления хостингом. Перед массовым развёртыванием безопаснее установить патч на тестовый сервер, выполнить резервное копирование и подготовить возможность быстрого отката конфигурации.
На момент публикации точные идентификаторы уязвимостей и полный технический разбор ещё не раскрыты. После появления официального бюллетеня администраторы смогут определить затронутые версии, минимальный номер исправленного релиза и условия, при которых возможна эксплуатация.
