В PHP обнаружены две критические уязвимости: необходимо срочно обновить версию языка программирования

Специально собранными HTTP-запросами без логина можно выполнить на сервере любой код с правами PHP-воркера. Рабочий взлом уже продемонстрирован на WordPress, Drupal, Joomla, Laravel, Symfony, Nextcloud, Magento и phpMyAdmin. Атаки уже идут — Cloudflare фиксирует попытки эксплуатации.

Чем это грозит компаниям, чьи сайты и ИТ-системы работают на PHP?
-Утечка данных клиентов и коммерческой информации.
-Простой сайтов и сервисов, потеря продаж.
-Штрафы за нарушение защиты персональных данных.
-Репутационный удар и отток клиентов.

Кому это важно знать в первую очередь: DevOps-инженерам, владельцам сайтов и других ИТ-систем на PHP.

Исправления вышли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для 8.1 и старше релизов не будет — только патчи от дистрибутивов.

Что делать? Обновить PHP. Если это невозможно прямо сейчас — установите временные меры (session.upload_progress.enabled=0, ограничение post_max_size и размера запросов на прокси), но помните: это лишь снижает риск, а не устраняет его.

Наша компания помогает бизнесу пройти этот инцидент с минимальными потерями:
-проводим аудит инфраструктуры
-экстренно обновляем PHP
-настраиваем WAF
-мониторинг
-проверяем логи на подозрительные multipart-запросы и ошибки 500.

Подробности услуги развития PHP-систем (https://s.simbirsoft.com/YpRh)
и услуги проектирования, настройки и поддержки ИТ-инфраструктуры (DevOps) (https://s.simbirsoft.com/z3NY)

Свяжитесь с нами для консультации — проверим ваши системы и поможем закрыть уязвимость до того, как ей воспользуются злоумышленники.