Zespół ds. bezpieczeństwa PHP udostępnił awaryjne poprawki dla dwóch krytycznych podatności, które umożliwiają atakującym uruchomienie kodu na serwerach bez logowania. Nowe wersje eliminujące problem to PHP 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35. Zgodnie z komunikatem PHP aktualizacja jest jedynym bezpiecznym wyjściem, ponieważ żadne obejście nie usuwa luk w całości.

Zagrożenie dotyczy wszystkich instalacji obsługujących zapytania do stron internetowych. Najbardziej narażone są serwery Apache wykorzystujące moduł mod_php, który wykonuje PHP bezpośrednio wewnątrz Apache. W takich środowiskach atak może zostać wykonany jeszcze przed uruchomieniem kodu samej strony. PHP odpowiada za działanie WordPressa na serwerze, a aktualizacja samego WordPressa lub jego wtyczek nie zaktualizuje interpretera PHP.

Skala zagrożenia i reakcje instytucji państwowych

Przed oficjalną publikacją aktualizacji wybrane instytucje publiczne zdecydowały się na tymczasowe wyłączenie serwisów internetowych. Według doniesień International Cyber Digest oraz firmy Sansec witryny holenderskiego parlamentu, tamtejszego Krajowego Centrum Cyberbezpieczeństwa (NCSC) oraz wybrane usługi rządowe i uniwersyteckie w Finlandii zostały prewencyjnie wyłączone. Przed wydaniem poprawki CERT-EU oraz brytyjski NCSC zalecały rozważenie tymczasowej izolacji lub wyłączenia serwisów, jeśli natychmiastowa ochrona nie była możliwa.

Wersje PHP 8.1 oraz starsze nie są już oficjalnie wspierane i nie otrzymują regularnych wydań bezpieczeństwa. Zespół PHP udostępnił ograniczone poprawki kodu źródłowego dla gałęzi 7.4, 8.0 oraz 8.1 dla zespołów samodzielnie kompilujących oprogramowanie, zaznaczając jednak, że nie oznacza to przywrócenia ciągłego wsparcia. Właściciele stron korzystający ze starszych wersji powinni zaplanować migrację do wspieranych wydań i zweryfikować u dostawcy hostingu wdrożenie poprawek od zewnętrznych dostawców wsparcia.

Zalecenia dla administratorów i właścicieli stron

Weryfikację wersji PHP na stronie z WordPressem można przeprowadzić, przechodząc do menu Narzędzia, następnie Stan witryny, Informacje i rozwijając zakładkę Serwer. Wdrożenie poprawki wymaga kontaktu z operatorem hostingu lub zmiany wersji w cPanelu z potwierdzeniem, że wybrana wersja zawiera łatkę.

Zalecane działania zabezpieczające obejmują:

Aktualizację interpretera PHP do wydań 8.5.12, 8.4.27, 8.3.36 lub 8.2.35.
Rozważenie tymczasowego wyłączenia serwisu, jeśli natychmiastowa aktualizacja nie jest możliwa.
Zastosowanie zapory aplikacji webowej (WAF), na przykład Cloudflare, z upewnieniem się, że cały ruch przechodzi przez zaporę, ponieważ bezpośrednie połączenie z serwerem pozwala ominąć te kontrole.
Przeprowadzenie kontroli serwera po aktualizacji pod kątem skryptów typu web shell, nieznanych kont administratorów oraz nieoczekiwanych modyfikacji plików PHP, ponieważ łatka nie usuwa wcześniejszego włamania.

Doniesienia wskazują, że narzędzie wykorzystujące lukę krążyło w sieci jeszcze przed publikacją poprawki. Atakujący mogą korzystać z modeli pozbawionych ograniczeń bezpieczeństwa, co daje im narzędzia do wyszukiwania i wykorzystywania luk.