Выпущен экстренный патч для PHP из-за угрозы взлома серверов

Миллионы интернет-ресурсов оказались под угрозой взлома из-за выявления двух критических уязвимостей в серверном языке программирования PHP, для которого 21 октября вышли официальные исправления. Ошибки в коде дают возможность третьим лицам осуществлять удаленный запуск команд на серверах без предоставления учетных данных. Под удар попали площадки, использующие архитектуру систем управления контентом WordPress, Joomla, Magento и Drupal.

Международные эксперты оценили уровень опасности найденных уязвимостей в 9,2 балла из 10 возможных. Первопричиной стала ошибка в алгоритмах взаимодействия интерпретатора с оперативной памятью оборудования. При определенных настройках система продолжает выполнять команды, опираясь на частично сформированные данные, либо пытается использовать секторы памяти, которые программа уже очистила. Особенно высока вероятность успешной эксплуатации ошибки на серверах с активным модулем Apache mod_php.

Во избежание кражи информации ряд государственных ведомств Финляндии и Нидерландов превентивно закрыли доступ к правительственным порталам и системам идентификации граждан. Остановка работы сервисов проводилась исключительно до момента получения защитных файлов.

Разработчики программного обеспечения призывают владельцев серверов оперативно внедрить выпущенное обновление PHP. Глобальная безопасность сайтов восстановлена в актуальных версиях продукта 8.5.12, 8.4.27, 8.3.36 и 8.2.35, полностью блокирующих выявленные уязвимости PHP.

Источник: 4pda