Amazon зафиксировала попытку использовать PHP2Shell 17 октября. О двух уязвимостях публично сообщили лишь через четыре дня.[2] Запрос пришёл на сервер-ловушку AWS. Компания пока не знает, могла ли атака сработать на обычном сервере и как злоумышленники узнали об ошибках заранее.[2]
PHP2Shell — название двух уязвимостей в самом PHP.[1] Запрос попадает в PHP ещё до запуска кода сайта, поэтому обновить только WordPress или другую CMS недостаточно.[1][4] Ошибки позволяют удалённо выполнять код без авторизации.[1]
Какие версии исправлены
Исправления вышли 21 октября: обновлены ветки PHP 8.2, 8.3, 8.4 и 8.5.[1] Исправленные сборки — 8.2.35, 8.3.36, 8.4.27 и 8.5.12.[1] Если PHP установлен через Linux-дистрибутив, хостинг или устройство, его версия может выглядеть иначе. Проверить обновление нужно у поставщика.[1]
На этом история не закончилась. После выпуска патчей AWS увидела новые эксплойты и попытки атаковать свои ловушки; компания пишет, что уязвимости уже широко используют.[2] В сообщении AWS речь идёт об активности на ловушках, а не о подтверждённом взломе конкретного сайта.[2]
Что проверить владельцу сайта
PHP рекомендует обновить все веб-установки.[1] Для PHP 8.1 и старше проверьте, выпустил ли поставщик backport: сам проект эти ветки больше не поддерживает.[1] AWS советует проверить журналы веб-сервера и необычные запуски процессов как минимум с 17 октября.[2] Sophos предлагает смотреть ещё раньше — с 1 августа, поскольку сведения об уязвимостях могли появиться до их публичного раскрытия.[3]