21 октября разработчики PHP выпустили исправления двух критических уязвимостей, известных под общим названием PHP2Shell. Ошибки могут позволить злоумышленнику выполнить код на сервере без авторизации и получить доступ к чувствительным данным.

Какие CMS затронуты

Исследователи Wiz продемонстрировали атаки на WordPress, Drupal и Joomla. Потенциальный риск касается и других проектов на PHP, включая «1С-Битрикс», самописные лендинги и преленды, если они работают на уязвимой версии.

Ошибки находятся в самом PHP, который выполняет код сайта на сервере. Обновление CMS и плагинов их не устраняет.

Как закрыть уязвимости

Нужно обновить PHP до 8.2.35, 8.3.36, 8.4.27 или 8.5.12 либо установить исправленный пакет от поставщика серверного ПО. Если сайт обслуживает хостинг, запросите у поддержки подтверждение установки патчей для вашего проекта.

Нейросети упростят взлом сайтов конкурентов в арбитраже?

В iGaming-SEO борьба за позиции давно выходит за пределы поисковой оптимизации: в ход идут абузы, жалобы и взломы чужих ресурсов. Уязвимости в PHP дают атакующим дополнительные возможности — похитить данные, подменить партнерские ссылки или перенаправить посетителей. Сайт при этом может продолжать работать, а трафик — приносить доход уже другому.

По данным Wiz, ИИ помог разработать и адаптировать рабочие атаки под несколько приложений за часы. С развитием моделей эксплуатация сложных ошибок может становиться быстрее и доступнее. Для вебмастеров это повышает цену задержки с установкой исправлений: на кону данные, рекламный бюджет и доход с уже привлеченной аудитории.