21 окт (Рейтер) - Разработчики широко используемого языка программирования PHP в среду сообщили, что выпустят обновления для устранения двух критических уязвимостей. Представители ведомства ЕС в сфере кибербезопасности предупредили, что организациям, которые не смогут установить обновления, следует отключить затронутые сайты.
PHP используется на большой части веб-приложений, и в последние сутки усилились спекуляции о том, что сайты на этом программном обеспечении могут подвергнуться серьезным кибератакам.
«PHP везде. Он незаметно обеспечивает работу сайтов на WordPress, Drupal, Joomla и Magento, платформ виртуального хостинга, панелей управления и множества программ, которые даже не афишируют, что работают на PHP», - говорится в сообщении компании Huntress.
В уведомлении по вопросам безопасности компания-разработчик PHP сообщила, что обе уязвимости получили оценку 9,2 балла по шкале CVSS v4.0, и призвала пользователей установить обновления как только новая версия станет доступна
По сообщению PHP, выпуск обновления, устраняющего обе уязвимости, запланирован на 14:00 на 17:00 МСК в среду.
В опубликованном во вторник предупреждении Компьютерная группа реагирования на чрезвычайные ситуации ЕС (CERT-EU) предупредила, что оценка в 9,2 балла свидетельствует о риске удаленного выполнения кода без аутентификации. Такие уязвимости позволяют хакерам запускать вредоносный код на уязвимых системах без необходимости входа в них.
CERT-EU призвала организации подготовиться к немедленной установке обновлений на затронутые системы и рекомендовала тем, кто не сможет сделать это оперативно, рассмотреть возможность отключения затронутых сайтов.
Австралийский центр кибербезопасности (ACSC) выпустил аналогичные рекомендации, призвав организации выявить системы с PHP в своей инфраструктуре, подготовиться к установке обновлений и отслеживать признаки вредоносной активности в приложениях.
Плагин безопасности Wordfence, предназначенный для защиты сайтов на WordPress, сообщил, что все сайты на WordPress работают на сервере с установленным PHP. Компания предупредила, что автоматические обновления не устранят эту уязвимость, и рекомендовала владельцам сайтов выяснить, кто отвечает за обновление PHP на их ресурсах.
Команда безопасности PHP сообщила, что сведения о затронутых версиях, уязвимостях, и исправленных версиях будут опубликованы после выпуска патчей.
Оригинал сообщения на английском языке доступен по коду:
(Раджвир Сингх Пардеси, Девика Наир, Шубхам Калия и Рафаэль Саттер)
