Уязвимости PHP 8.3: что известно и как защитить сайт

Почему «уязвимость PHP 8.3» — это не одна дыра

PHP 8.3 вышел 23 ноября 2023 года. С тех пор разработчики выпускают для ветки регулярные обновления: версии 8.3.1, 8.3.2 и далее. В каждом из них, помимо обычных багфиксов, бывают исправления безопасности. Поэтому правильнее говорить не об «уязвимости 8.3», а о перечне CVE, закрытых на разных этапах жизни ветки.

У каждой уязвимости свой набор условий. Одни зависят от операционной системы (самые громкие случаи связаны с Windows), другие от режима запуска PHP, третьи от того, использует ли ваш код конкретные функции, например `proc_open` или `password_verify`. Поэтому два сайта на одной и той же версии могут иметь совершенно разный уровень риска.

Общее правило простое: чем старее минорная версия внутри ветки, тем больше известных и уже описанных публично проблем она содержит. Для злоумышленников такие сайты удобная цель, ведь способы эксплуатации давно разобраны и автоматизированы.

Что произошло с CVE-2024-4577

В июне 2024 года стало известно об ошибке в обработке аргументов командной строки при запуске PHP через CGI на Windows. Из-за особенностей преобразования символов (механизм Best-Fit) специально сформированный запрос позволял передать интерпретатору собственные параметры и в итоге выполнить произвольный код на сервере. Под угрозой были ветки 8.1, 8.2 и 8.3 до исправленных релизов, а в ветке 8.3 безопасной стала версия 8.3.8.

Особенно уязвимыми оказались сборки вроде XAMPP на Windows, где режим CGI включён по умолчанию, а также сервера с нестандартной конфигурацией. Эксплуатация началась практически сразу после публикации деталей, и уязвимость использовали, в частности, для установки вредоносных программ-вымогателей.

В запросах к сайту подозрительный след выглядит как последовательность `%AD` в строке запроса. Если в логах веб-сервера встречаются такие обращения, сервер, вероятно, сканировали или пытались атаковать.

Эта таблица не исчерпывающий перечень, а подборка наиболее показательных случаев. За время жизни ветки закрывали и другие проблемы: ошибки разбора многочастных форм, переполнение буфера в потоковых фильтрах, засорение логов в пуле процессов FPM. Актуальный и полный список исправлений всегда публикуется в журнале изменений (changelog) каждого релиза на официальном сайте PHP.

Важный практический вывод: если ваш сервер работает на Linux с PHP-FPM, конкретная CVE-2024-4577 на нём не воспроизводится. Но это не повод откладывать обновления. Разные уязвимости затрагивают разные компоненты, и заранее предсказать, какая из них окажется критичной для вашей конфигурации, невозможно.

Версия в пакете не всегда совпадает с версией в исходниках

На Debian, Ubuntu и других дистрибутивах мейнтейнеры нередко переносят исправления безопасности в старые пакеты, не меняя номер версии. В результате `php -v` может показывать, например, 8.3.6, но при этом нужные патчи уже внесены. Обратная ситуация тоже возможна: устаревший пакет из стороннего репозитория, куда исправления не попадают.

Поэтому при сомнениях сверяйтесь не только с номером, но и с журналом изменений пакета. Например, в Debian и Ubuntu его можно открыть командой `apt changelog php8.3-fpm`, а там уже искать нужный идентификатор CVE.

Если вы работаете на виртуальном хостинге, откройте панель управления и проверьте, какая версия PHP выбрана для вашего домена. Обычно её можно переключить в пару кликов, но перед этим стоит протестировать сайт на копии: в новых версиях меняется поведение некоторых функций.

Жизненный цикл ветки: сколько ещё можно рассчитывать на поддержку

У каждой ветки PHP есть два этапа поддержки. Сначала два года идёт активная: в неё попадают и исправления ошибок, и патчи безопасности. Затем ещё два года выходят только исправления безопасности. Для PHP 8.3 активная поддержка завершилась в ноябре 2025 года, а патчи безопасности обещаны до конца 2027 года.

Это означает, что 8.3 остаётся приемлемым выбором для работающих проектов, но планировать переход на более новую ветку стоит заранее. Обновление в последний момент, когда поддержка уже закончилась, всегда обходится дороже и рискованнее.

Как уязвимость PHP отражается на поисковом трафике

Взлом сервера почти всегда заканчивается не только утечкой данных, но и проблемами с поисковой выдачей. На сайт внедряют скрытые ссылки, спам-страницы, редиректы на сторонние ресурсы. Яндекс и Google обнаруживают такой контент и могут пометить сайт предупреждением, понизить его позиции или вовсе исключить страницы из индекса.

Первые сигналы вы увидите в сервисах для вебмастеров: в Яндекс Вебмастере это раздел о нарушениях и безопасности, в Google Search Console отчёт о проблемах безопасности и ручных мерах. Подключите оба инструмента и включите уведомления, чтобы узнавать о заражении в первые часы, а не через месяц, когда трафик уже просел.