В PHP обнаружены две критические уязвимости: необходимо срочно обновить версию языка пр...
В PHP обнаружены две критические уязвимости: необходимо срочно обновить версию языка программирования Специально собранными HTTP-запросами без логина можно выполнить на сервере любой код с правами PHP-воркера. Рабочий взлом уже продемонстрирован на WordPress, Drupal, Joomla, Laravel, Symfony, Nextcloud, Magento и phpMyAdmin. Атаки уже идут — Cloudflare фиксирует попытки эксплуатации. Чем это грозит компаниям, чьи сайты и ИТ-системы работают на PHP? -Утечка данных клиентов и коммерческой информации. -Простой сайтов и сервисов, потеря продаж. -Штрафы за нарушение защиты персональных данных. -Репутационный удар и отток клиентов. Кому это важно знать в первую очередь: DevOps-инженерам, владельцам сайтов и других ИТ-систем на PHP. Исправления вышли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для 8.1 и старше релизов не будет — только патчи от дистрибутивов. Что делать? Обновить PHP. Если это невозможно прямо сейчас — установите временные меры (session.upload_progress.enabled=0, ограничение post_max_size и размера запросов на прокси), но помните: это лишь снижает риск, а не устраняет его. Наша компания помогает бизнесу пройти этот инцидент с минимальными потерями: -проводим аудит инфраструктуры -экстренно обновляем PHP -настраиваем WAF -мониторинг -проверяем логи на подозрительные multipart-запросы и ошибки 500. Подробности услуги развития PHP-систем (https://s.simbirsoft.com/YpRh) и услуги проектирования, настройки и поддержки ИТ-инфраструктуры (DevOps) (https://s.simbirsoft.com/z3NY) Свяжитесь с нами для консультации — проверим ваши системы и поможем закрыть уязвимость до того, как ей воспользуются злоумышленники.