Екипът по сигурността на популярния програмен език PHP обяви извънредно пускане на софтуерни корекции за две критични уязвимости с рейтинг на опасност 9,2 от 10 по стандарта CVSS v4.0. Поводът за спешната реакция е нерегламентирано изтичане на информация за пробивите часове преди предварително съгласувания график за публикуването им.

Разработчиците отправиха официално предупреждение към системните администратори по света да бъдат в пълна готовност за незабавно внедряване на поправките.

Гръбнакът на световната мрежа

Мащабът на потенциалната заплаха идва от доминиращата роля на PHP в глобалната уеб инфраструктура. Според официалните данни на аналитичната платформа W3Techs езикът захранва приблизително 77% от всички уебсайтове в света с известен сървърен програмен код.

Той стои в основата на масови платформи за управление на съдържание като WordPress (която самостоятелно поддържа над 40% от уеб пространството), Joomla и Drupal, системи за електронна търговия като Magento, както и водещи софтуерни рамки като Laravel и Symfony.

По оценки на специалисти по сигурност над 1,3 милиона сървъра, директно свързани към интернет, са потенциално изложени на риск.

Какво представлява заплахата

Идентифицирани под кодовете CVE-2026-109618 и CVE-2026-109619, пробивите представляват слабости от тип отдалечено изпълнение на зловреден код (Remote Code Execution – RCE). От компанията за киберсигурност watchTowr съобщиха, че те засягат практически всяко използвано днес поколение на езика – от PHP 5, пуснат на пазара още през 2004 г. през версии 6 и 7 до модерната версия 8.

Изследователите потвърдиха, че са възпроизвели успешно атаката в лабораторна среда, но уточниха, че за момента няма данни за реални злонамерени пробиви в мрежата.

Напрежението в сектора ескалира след публикувано и впоследствие изтрито съобщение във форума Hacker News, както и след появата на видеодемонстрация на инструмент за атаки, наречен PHP2Shell. Кадрите показаха компрометиране на сървъри с широк спектър от уеб платформи, сред които MediaWiki, phpBB и WHMCS.

Макар в първоначалните изтекли публикации рискът да се оценяваше с максималната степен 10, разработчиците на PHP класифицираха пробивите на 9,2 точки. Те подчертаха, че имат готовност да публикуват защитните пакети предсрочно спрямо обявения час, ако засекат активизиране на хакери.

Минути за реакция

Специалистите от фирмата за киберсигурност Sansec прогнозират, че автоматизираните масови опити за пробив могат да започнат едва 15 минути след официалното публикуване на поправките. Предупреждения за спешна мобилизация отправиха също Webfence и Huntress.

За да защитят инфраструктурата си, организациите трябва незабавно да установят отговорните технически екипи, да направят пълен одит на работещите PHP приложения и да осигурят технически прозорец за обновяване.

Препоръчва се своевременно създаване на резервни копия (backup) на базите данни и файловете, както и следене на официалния портал PHP.net за извънредни съобщения.

За системи с второстепенно значение експертите съветват дори временно изключване от мрежата до окончателното инсталиране на корекциите.

Article source: https://money.bg/internet-it/speshno-karpyat-programniya-ezik-koyto-zadvizhva-77-ot-saytovete-v-sveta.html