PHP Foundation подтвердила, что критическая уязвимость в движке PHP, позволяющая удаленно выполнять код, была известна разработчикам в течение двух лет. Проблема связана с архитектурной ошибкой при обработке ошибок через функцию longjmp, из-за чего в памяти остаются некорректные данные.
Эксплойт PHP2Shell активно используется для атак на серверы. На момент раскрытия информации 73% установок PHP в интернете использовали версии, поддержка которых прекращена. Команда PHP Foundation состоит из одного штатного сотрудника и 14 контрактных специалистов.
По оценкам Censys, изначально уязвимыми были 45,7 миллиона из 119 миллионов установок PHP. На текущий момент число неисправленных сервисов сократилось до 29 миллионов, при этом скорость установки патчей составляет около 1 миллиона в день. 62% серверов отключили отчетность о версии, что затрудняет мониторинг.
Уязвимость затрагивает сетевое оборудование и NAS-накопители. PHP Foundation выпустила патчи для версий с 7.4 по 8.1, однако многие пользователи зависят от исправлений в дистрибутивах Linux. Компании, включая Cloudflare и Fastly, обновили правила защиты для блокировки PHP2Shell.
