Ваш сайт могли зламати ще до виходу патча. Що власнику бізнесу треба знати про PHP2Shell

Більшість новин про кібербезпеку власники бізнесу пропускають: це щось для айтішників.

PHP2Shell – випадок, коли пропускати не варто. Ця вразливість стосується не одного плагіна чи CMS, а самої мови, на якій працюють приблизно 69% сайтів з відомою серверною технологією. WordPress, Magento, OpenCart, Laravel, тисячі самописних інтернет-магазинів – усе це PHP.

У WEZOM ми понад 25 років розробляємо та підтримуємо проєкти на PHP, і цього тижня саме це питання нам ставили найчастіше. Тож пояснюю без технічних деталей, що сталося, чим це загрожує і які рішення варто ухвалити вже сьогодні.

Що сталося, у трьох реченнях

21 жовтня розробники PHP випустили екстрені оновлення для двох критичних вразливостей, оцінених у 9,2 бала з 10. Вони дозволяють будь-кому з інтернету, без пароля, отримати контроль над сервером. Першу спробу атаки фахівці Amazon зафіксували ще 17 жовтня, за чотири дні до публічного оголошення, а за кілька годин після релізу спроби атак уже бачила Cloudflare.

Чим ризикує бізнес

Для вас це не «технічний інцидент», а цілком конкретні гроші й репутація:

• витік бази клієнтів – персональні дані, історія замовлень, контакти;

Підписуйтеся на наші соцмережі

• крадіжка платежів – на сторінку оплати можна непомітно вбудувати скімер;

• простій сайту саме тоді, коли він потрібен найбільше: у сезон, під час акції;

• блокування в Google і браузерах, якщо сайт почне поширювати шкідливий код;

• злам інтеграцій – зловмисник може отримати ключі доступу до платіжних систем, служб доставки, CRM.

«Ми вже оновилися» – це ще не відповідь

Найчастіше чую: «Підрядник сказав, що все оновив». Чудово. Але є три нюанси.

Перший: атаки почалися до патча. Якщо сайт атакували 18 чи 19 жовтня, оновлення 21-го не прибере те, що зловмисник уже встиг залишити. Закрити двері та перевірити, чи ніхто не зайшов, – це дві різні дії.

Другий: оновлюють те, про що знають. Тестова копія сайту, старий лендинг, адмінка, яку колись робив інший підрядник, – усе це часто випадає з поля зору. Зловмиснику достатньо одного забутого сервера.

Третій: старі версії PHP не мають повноцінного виправлення. PHP 8.1 і старші версії вже не підтримуються, і для них є лише мінімальні тимчасові латки. Якщо ваш магазин працює на PHP 7.x, «просто оновити» не вийде: потрібна міграція, а значить, допрацювання коду й тестування.

Три рішення, які варто ухвалити сьогодні

1. Отримати повний список своїх сайтів і сервісів на PHP. Не лише основний сайт, а все, що є в компанії.

2. З'ясувати, чи перевіряли ці системи на ознаки зламу, а не лише чи їх оновили.

3. Вирішити, хто відповідає за безпеку надалі. PHP2Shell не остання критична вразливість, і наступна теж може з'явитися без попередження.

Що ми побачили за перші дні

Коли з'явилася PHP2Shell, перше, що хотіли знати клієнти, – «чи в небезпеці ми прямо зараз». Щоб відповісти швидко, ми поділили перевірку на чотири кроки: список усіх PHP-середовищ, перевірка на обидві вразливості, експрес-перевірка на ознаки зламу з 17 жовтня і зрозумілий план дій.

За першу ніч таку перевірку пройшли 125 сайтів, і за наступні два дні 98 з них знадобилося допрацювати: оновити, мігрувати чи усунути ризики. Тобто майже вісім із десяти сайтів не були готові до цієї вразливості, навіть якщо власник вважав, що все гаразд.

Замість висновку

Головна порада: не відкладайте. Ставте підряднику або своїй IT-команді не питання «чи оновили ми PHP», а три питання з цієї статті. Кожен день без відповідей на них – це день, коли ваш сайт може бути відкритим для зловмисників.