В PHP обнаружили две критические уязвимости с уровнем опасности 9,2 из 10. Они позволяют удалённо запускать код на серверах, взламывать сайты и похищать данные. По оценке исследователей watchTowr, под угрозой могут быть более 1,3 млн узлов в сети, сообщает Onliner.

Особый риск — для сайтов на WordPress: платформа работает на PHP и обслуживает более 40 % сайтов в интернете. Автоматическое обновление WordPress проблему не закроет, обновлять нужно сам PHP — через хостинг-провайдера или администратора сервера.

В hoster.by пояснили, что пока известен один вектор атаки — механизм отслеживания загрузки файлов в сессиях PHP (session.upload_progress), но другие не исключены. Исправления выйдут только для поддерживаемых веток 8.2, 8.3, 8.4 и 8.5. Для версий 7.4, 8.0 и 8.1 допустимо backport-обновление.

Тем, кто не может сразу поставить патч, специалисты советуют временно ограничить доступ к уязвимым приложениям из интернета или отключить их. Cloudflare временно усилил защиту клиентов, но полностью закрыть уязвимости может только обновление PHP.