Разработчики PHP выпустили обновления для версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35, устраняющие две уязвимости, получившие название PHP2Shell. Эти ошибки позволяют злоумышленникам получить контроль над сервером без авторизации. Поскольку PHP не обновляется автоматически, владельцам ресурсов необходимо самостоятельно установить патчи и перезагрузить серверное ПО.
PHP используется примерно на 70% сайтов с известным серверным языком программирования. Хотя официальная поддержка версий 8.1 и старше прекращена, команда безопасности подготовила патчи для 7.4, 8.0 и 8.1. По оценкам компании Mallory, около 884 000 серверов в сети используют версии PHP, не получающие официальных автоматических обновлений.
После раскрытия информации количество попыток взлома резко возросло. В Cloudflare зафиксировали миллионы атак, причем активность начала расти еще до официального анонса. Amazon сообщила, что их серверы-приманки зафиксировали попытки эксплуатации уязвимости 17 октября, за четыре дня до публичного раскрытия. На текущий момент подтвержденных случаев успешного взлома не зафиксировано.
PHP Foundation признала, что задержка с исправлением стала следствием структурных проблем и нехватки ресурсов. Ранее команда безопасности принимала решения только на основе консенсуса, теперь же будет использоваться принцип большинства голосов. Поддержка безопасности языка по-прежнему зависит от небольшой группы разработчиков, финансируемых фондом, и волонтеров.
