Ваш сайт могли зламати ще до виходу патча. Що власнику бізнесу треба знати про PHP2Shell
Більшість новин про кібербезпеку власники бізнесу пропускають: це щось для айтішників.
PHP2Shell – випадок, коли пропускати не варто. Ця вразливість стосується не одного плагіна чи CMS, а самої мови, на якій працюють приблизно 69% сайтів з відомою серверною технологією. WordPress, Magento, OpenCart, Laravel, тисячі самописних інтернет-магазинів – усе це PHP.
У WEZOM ми понад 25 років розробляємо та підтримуємо проєкти на PHP, і цього тижня саме це питання нам ставили найчастіше. Тож пояснюю без технічних деталей, що сталося, чим це загрожує і які рішення варто ухвалити вже сьогодні.
Що сталося, у трьох реченнях
21 жовтня розробники PHP випустили екстрені оновлення для двох критичних вразливостей, оцінених у 9,2 бала з 10. Вони дозволяють будь-кому з інтернету, без пароля, отримати контроль над сервером. Першу спробу атаки фахівці Amazon зафіксували ще 17 жовтня, за чотири дні до публічного оголошення, а за кілька годин після релізу спроби атак уже бачила Cloudflare.
Чим ризикує бізнес
Для вас це не «технічний інцидент», а цілком конкретні гроші й репутація:
• витік бази клієнтів – персональні дані, історія замовлень, контакти;
Підписуйтеся на наші соцмережі
• крадіжка платежів – на сторінку оплати можна непомітно вбудувати скімер;
• простій сайту саме тоді, коли він потрібен найбільше: у сезон, під час акції;
• блокування в Google і браузерах, якщо сайт почне поширювати шкідливий код;
• злам інтеграцій – зловмисник може отримати ключі доступу до платіжних систем, служб доставки, CRM.
«Ми вже оновилися» – це ще не відповідь
Найчастіше чую: «Підрядник сказав, що все оновив». Чудово. Але є три нюанси.
Перший: атаки почалися до патча. Якщо сайт атакували 18 чи 19 жовтня, оновлення 21-го не прибере те, що зловмисник уже встиг залишити. Закрити двері та перевірити, чи ніхто не зайшов, – це дві різні дії.
Другий: оновлюють те, про що знають. Тестова копія сайту, старий лендинг, адмінка, яку колись робив інший підрядник, – усе це часто випадає з поля зору. Зловмиснику достатньо одного забутого сервера.
Третій: старі версії PHP не мають повноцінного виправлення. PHP 8.1 і старші версії вже не підтримуються, і для них є лише мінімальні тимчасові латки. Якщо ваш магазин працює на PHP 7.x, «просто оновити» не вийде: потрібна міграція, а значить, допрацювання коду й тестування.
Три рішення, які варто ухвалити сьогодні
1. Отримати повний список своїх сайтів і сервісів на PHP. Не лише основний сайт, а все, що є в компанії.
2. З'ясувати, чи перевіряли ці системи на ознаки зламу, а не лише чи їх оновили.
3. Вирішити, хто відповідає за безпеку надалі. PHP2Shell не остання критична вразливість, і наступна теж може з'явитися без попередження.
Що ми побачили за перші дні
Коли з'явилася PHP2Shell, перше, що хотіли знати клієнти, – «чи в небезпеці ми прямо зараз». Щоб відповісти швидко, ми поділили перевірку на чотири кроки: список усіх PHP-середовищ, перевірка на обидві вразливості, експрес-перевірка на ознаки зламу з 17 жовтня і зрозумілий план дій.
За першу ніч таку перевірку пройшли 125 сайтів, і за наступні два дні 98 з них знадобилося допрацювати: оновити, мігрувати чи усунути ризики. Тобто майже вісім із десяти сайтів не були готові до цієї вразливості, навіть якщо власник вважав, що все гаразд.
Замість висновку
Головна порада: не відкладайте. Ставте підряднику або своїй IT-команді не питання «чи оновили ми PHP», а три питання з цієї статті. Кожен день без відповідей на них – це день, коли ваш сайт може бути відкритим для зловмисників.