Команда разработчиков PHP анонсировала экстренные обновления, устраняющие две критические уязвимости в языке программирования, которые позволяют злоумышленникам без учетной записи выполнять произвольный код на веб-сервере. Эти уязвимости, объединенные под названием PHP2Shell, находятся в самом окружении выполнения PHP, а не в каких-либо приложениях, что делает сайты уязвимыми, даже если их собственный код не содержит уязвимостей.

Обновления были выпущены для версий PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Разработчики подчеркивают, что единственный способ полностью защитить сервер от эксплуатации этих уязвимостей — это обновление до последних версий. Несмотря на то, что уязвимости были обнаружены недавно, уже зафиксированы попытки их эксплуатации в дикой природе.

PHP2Shell представляет собой серьезную угрозу для безопасности, так как позволяет злоумышленникам получить доступ к системным ресурсам сервера и выполнять произвольные команды. Это может привести к компрометации данных, утечке информации и другим серьезным последствиям для организаций, использующих уязвимые версии PHP.

Разработчикам рекомендуется немедленно обновить свои серверы, чтобы минимизировать риски. Также стоит провести аудит существующих приложений на наличие других потенциальных уязвимостей, которые могут быть использованы в связке с PHP2Shell.

В связи с текущей ситуацией, специалисты по кибербезопасности призывают к повышенному вниманию к системам, использующим PHP, и советуют следить за обновлениями безопасности от разработчиков. Учитывая, что PHP является одним из самых популярных языков программирования для веб-разработки, уязвимости подобного рода могут затронуть огромное количество сайтов и приложений.

Источник новости:
The Hacker News

Читать полностью