Критическая уязвимость PHP: как защитить сайт

Почему «критическая» — это не просто громкое слово

Уязвимости оценивают по шкале CVSS от 0 до 10. Всё, что выше 9.0, считается критическим. Такую оценку получают ошибки, которые одновременно просто эксплуатировать, которым не нужна авторизация и после которых злоумышленник получает контроль над сервером или данными.

Наиболее опасный класс — RCE (Remote Code Execution), удалённое выполнение кода. Если атакующий может запустить команду на вашем сервере, он способен скачать вредоносные скрипты, добавить скрытых администраторов, украсть базу клиентов, встроить редиректы на чужие сайты или зашифровать файлы ради выкупа.

Отдельная проблема PHP — масштаб. Один и тот же интерпретатор стоит на миллионах серверов, а автоматические сканеры проверяют адреса в интернете круглосуточно. Как правило, между публикацией информации об уязвимости и первыми массовыми попытками взлома проходят считаные дни, а иногда и часы.

Как работает CVE-2024-4577

Эта уязвимость, раскрытая в июне 2024 года, затрагивает PHP на Windows при работе в режиме CGI. Суть в том, что при преобразовании символов из одной кодировки в другую (так называемое Best-Fit-сопоставление) определённый символ превращался в обычный дефис. В результате в PHP-CGI можно было передать собственные параметры запуска прямо через адресную строку.

С такими параметрами атакующий мог включить в настройках интерпретатора загрузку удалённых файлов и заставить сервер выполнить свой код. Уязвимость нашёл исследователь Orange Tsai из компании DEVCORE, а оценка CVSS составила 9.8.

Особенно рискованными оказались сборки вроде XAMPP на Windows, где CGI-режим включён по умолчанию. Вскоре после публикации началась массовая эксплуатация: сканеры перебирали адреса и пытались внедрить вредоносные нагрузки, в том числе шифровальщики. Исправления вышли в версиях 8.3.8, 8.2.20 и 8.1.29. Ветки, снятые с поддержки, патчей не получили.

Эти истории объединяет одно: большинство взломов происходит не потому, что атакующие придумали что-то гениальное, а потому что владелец сайта вовремя не поставил патч или оставил лишнее доступным снаружи. Поэтому основной защитой становится дисциплина обновлений и аккуратная настройка окружения.

Далее — практический порядок действий. Он подойдёт и для собственного VPS, и для виртуального хостинга, где часть шагов придётся согласовать с поддержкой.

Особенности хостинга и популярных CMS

На виртуальном хостинге версию PHP обычно переключают в панели управления. Если нужной ветки нет, это повод сменить провайдера или тариф: хостинг, который не обновляет окружение, превращается в постоянный источник риска. Уточните у поддержки, как быстро они ставят патчи после выхода критических релизов.

Для WordPress, 1С-Битрикс, Joomla и других CMS вопрос обновления PHP связан с совместимостью плагинов и модулей. Поэтому сначала разверните тестовую копию, проверьте её на новой версии и только потом переключайте боевой сайт. Откладывать переход на годы нельзя: чем старее версия, тем сложнее и дороже потом переезжать.

Отдельно проверьте, не лежат ли на сервере тестовые и служебные файлы: phpinfo.php, дампы баз, архивы сайта, папки vendor с инструментами разработки. Каждый такой файл — готовая подсказка для атакующего.

Ещё одна частая ошибка — надежда на то, что «мой сайт маленький, он никому не нужен». Атаки автоматизированы: сканеры не выбирают цель, они перебирают адреса подряд. Для злоумышленника небольшой сайт — это бесплатные вычислительные ресурсы, площадка для рассылки спама, хостинг фишинговых страниц или трамплин для атаки на соседние проекты.

Если у вас интернет-магазин или сервис с личными данными, риск ещё выше: утечка клиентской базы создаёт юридические обязательства, в том числе по закону о персональных данных, и бьёт по репутации.

Взлом и поисковая выдача

Последствия взлома выходят за рамки технической части. Если на сайт внедрён вредоносный код или скрытые ссылки, поисковые системы могут пометить его как небезопасный и показать пользователям предупреждение. Посещаемость в такие периоды падает резко, а восстановление доверия занимает недели.

Следите за уведомлениями в Яндекс Вебмастере (раздел «Безопасность и нарушения») и в Google Search Console (раздел проблем безопасности). Эти сервисы часто замечают заражение раньше владельца. Если в Яндекс Метрике или Google Analytics вы видите необычный всплеск трафика из неизвестных источников, странные страницы в отчётах или рост отказов, это тоже повод проверить сайт.

После очистки отправьте сайт на перепроверку через те же сервисы. Пока предупреждение не снято, платная реклама в Яндекс Директе и Google Ads может быть ограничена, а органический трафик будет проседать.