Новости об уязвимостях в PHP легко отложить с мыслью «это к разработчику». Но речь о сайте, на который застройщик приводит покупателей из платной рекламы и где собирает заявки. На этот трафик уже потрачен бюджет. При взломе под угрозой оказываются обращения, за привлечение которых уже заплатили, и данные клиентов.
Давайте разберёмся, что за «трещину» нашли, чем она грозит застройщику и почему проверку сайта стоит поставить в задачи на сегодня.
Если посторонний сервис получит доступ к серверу сайта ЖК, он сможет скопировать заявки покупателей, подменить формы или повредить файлы. Для бизнеса это утечка данных, потерянные обращения и расходы на восстановление. Такой риск создают две уязвимости в PHP, в исследовании которых участвовала команда OpenAI Codex Security. PHP - это технология, на которой работает серверная часть многих сайтов, включая «1С-Битрикс», WordPress и Joomla. При определённых условиях ошибки позволяют выполнять команды на сервере без входа в систему. При этом сайт может спокойно открываться и принимать заявки. Ответ «у нас всё работает» ещё не подтверждает, что уязвимости закрыты.
Если у покупателей есть личный кабинет, на кону могут оказаться и персональные данные. Но и обычный сайт ЖК с подбором квартир и формой заявки нужно проверить.
Исправления уже есть. 21 октября разработчики выпустили обновлённые версии PHP. Установить их должен специалист, который обслуживает сервер. Обычного обновления «Битрикса» или другой системы управления сайтом недостаточно.
Чтобы защитить данные клиентов, 21 октября в «1С-Битрикс» временно ограничили работу облачного Битрикс24. Часть функций отключили на время установки исправлений и проверки безопасности.
Что сделать маркетологу:
✔️ Напишите подрядчику, который обслуживает сайт. Попросите проверить проекты, установить необходимые исправления и назвать срок работ.
✔️ Получите ответ по каждому сайту. Нужны конкретные сведения о том, что исправлено и закрыты ли обе уязвимости. Если обновление откладывают, уточните причину, временную защиту и срок завершения. Временные меры не заменяют исправлений.
✔️ После работ отправьте тестовую заявку и проверьте, появилась ли она в CRM и аналитике. Так вы убедитесь, что формы и передача заявок работают. Безопасность сервера отдельно проверяет технический специалист.
В Indigo мы уже устраняем эти уязвимости на клиентских сайтах. Планируем закончить в ближайшее время, проверить результат и сообщить каждому клиенту, какие исправления установили.
#pro_сайт #ПД