уязвимости
Вчера для PHP — скриптового языка, используемого на многих сайтах и в интернет-сервисах, — опубликовали сразу две критические уязвимости: CVE-2026-109618 и CVE-2026-109619. С их использованием злоумышленники могут удаленно выполнять команды на любом сервере, использующем PHP, причем для атаки даже не нужна аутентификация. Эксплойт для этой уязвимости получил название PHP2Shell.
О предстоящем экстренном релизе обновления команда безопасности PHP уведомила 20 октября и уже на следующий день выпустила патчи, закрывающие эти уязвимости.
Мы уже рассмотрели технические особенности этих уязвимостей и рассказали, что нужно делать компаниям и администраторам серверов. Вы могли спокойно пропустить эти новости, потому что никаких серверов у вас нет, но, к сожалению, проблема не только на стороне бизнеса.
На PHP работает почти 70% сайтов, в их числе — сервисы, которыми мы пользуемся каждый день: вики-ресурсы, интернет-магазины, умные устройства с веб-интерфейсом, домашние сетевые хранилища (NAS), контроллеры умного дома и многое-многое другое.
Сегодня расскажем, чем эти уязвимости могут угрожать лично вам и что нужно делать, чтобы снизить риски.
Чем уязвимость грозит рядовому пользователю
Кража аккаунтов и личных данных
Уязвимость позволяет злоумышленнику извлекать токены авторизации из памяти сервера — это что-то вроде электронного пропуска, благодаря которому сайт узнает уже вошедшего пользователя. В результате атакующий может войти в чужой аккаунт без ввода пароля и кода двухфакторной авторизации — в зоне риска оказываются переписки, документы, адреса доставки, история заказов и другая конфиденциальная информация.
Потеря файлов на домашних устройствах
Если у вас дома стоит сетевое хранилище (NAS) или система видеонаблюдения, использующая уязвимый PHP, под удар может попасть и она. В зависимости от полученных прав злоумышленники потенциально могут копировать, удалять или шифровать доступные им файлы.
Заражение вредоносом
Если злоумышленник успел заполучить доступ к уязвимому сайту, дальше он может использовать его как угодно: подсунуть посетителям вредоносный файл или фишинговую ссылку, показать опасную инструкцию, подменить форму оплаты или страницу входа — список можно продолжать до бесконечности.
В итоге человек, перешедший на действительно легитимный сайт, может не только лишиться своего аккаунта, но и потерять деньги или случайно заразить свое устройство вредоносом.
Ниже мы приводим примеры сервисов, которые непосредственно затронула уязвимость.
Какие сервисы затронули уязвимости PHP
Jeedom
Jeedom — это платформа умного дома, через которую можно управлять освещением, датчиками, отоплением, жалюзи и домашними IoT-устройствами. Возможности для атак тут самые разнообразные: злоумышленники могут попробовать отключить сигнализацию, скачать данные о том, когда владелец дома покидает помещение, заполучить видео с домофона…
Разработчики подтвердили, что новая уязвимость затронула их приложение, и уже выпустили срочное обновление — Jeedom 4.6.2. Чтобы обновление заработало, его нужно запустить дважды. Полностью исправленную версию для домашних пользователей разработчики обещают выпустить на днях.
Сайты, которыми мы пользуемся каждый день
Как мы уже говорили, PHP используется примерно на 70% сайтов. Это не значит, что каждый из них уязвим: все зависит от используемой версии PHP и от того, успели ли владельцы своевременно обновить сайт. Многие государственные сайты в Европе уже приостановили свою работу из-за новой уязвимости.
К сожалению, если сайт работает в привычном режиме, это вовсе не означает, что проблема его не касается. Потенциально атакующий может перехватить контроль над любым легитимным сайтом, который пока что не успел закрыть уязвимость на своем сервере. Злоумышленник может подделать страницы оплаты или ввода учетных данных, разместить вредоносные файлы или побудить пользователя скачать «срочное обновление», за которым прячется зловред.
Самостоятельно проверить надежность таких инструкций и файлов просто невозможно, поэтому обязательно пользуйтесь надежной антифишинговой и антивирусной защитой. Если вы подозреваете, что ваши данные могли украсть, проверьте активные сессии в настройках своих аккаунтов. При обнаружении подозрительной активности или неизвестных вам устройств закройте все сессии и поменяйте пароль. Используйте менеджер паролей — он поможет вам сгенерировать по-настоящему сложный и уникальный пароль, который вам не придется самостоятельно запоминать.
Компьютерные игры
Плохие новости для геймеров: некоторые видеоигры, чьи серверы используют PHP, тоже оказались в зоне риска. Если вы не хотите, чтобы ваши учетные записи достались злоумышленникам, обязательно обновите пароли от игровых платформ, магазинов и аккаунтов.
Часть разработчиков, чтобы выиграть время на обновление, временно отключили свои сервисы. На экстренное техобслуживание уходили Final Fantasy XIV, Pokemon Champions, игры от Bandai Namco Entertainment, Uma Musume: Pretty Derby, Granblue Fantasy, Shadowverse: Worlds Beyond и многие другие. Под удар также попали Nintendo Switch Online и магазины GOG и Steam.
К сожалению, есть и более радикальные последствия. Вчера разработчики World Quest объявили о полном закрытии игры — спустя 15 лет после выхода: она работала на старой инфраструктуре, и на ее починку потребовалось бы колоссальное количество ресурсов. По той же причине после более чем десяти лет работы закрылась мобильная игра Please Save My Pandemonium!
Домашние сетевые хранилища (NAS)
«Домашние облака» в последние годы стали популярны неспроста — многие пользователи предпочитают хранить резервные копии своих данных у себя, а не в Сети. Производит домашние сетевые хранилища целый ряд компаний, из которых как минимум три — QNAP, Synology и ASUSTOR — уже заявили о том, что уязвимости затрагивают их устройства. Также вышло обновление для Unraid — операционной системы для домашних серверов, сетевых хранилищ и медиасерверов.
QNAP
Производитель подтвердил, что уязвимости затрагивают как ряд версий операционных систем для NAS (QTS и QuTS hero), так и приложения, в том числе QuMagie и Note Station 3, а также некоторые версии QVR Surveillance. При успешной атаке под угрозой могут оказаться фотографии, документы, заметки и записи с камер.
На момент публикации поста QNAP еще готовит обновления, поэтому главная задача — временно отключить NAS от Интернета. QNAP рекомендует отключить проброс портов на роутере, запретить NAS автоматически открывать себе порты и разрешить подключение к панели управления только из домашней сети или через VPN.
Synology
Официально подтверждены обе уязвимости в пакетах PHP 7.3, 7.4, 8.0–8.4, а также приложениях Mail Station и Synology Calendar. Исправления уже выпущены для PHP, начиная с версии 7.4, Mail Station и Synology Calendar. PHP 7.3 исправлять не будут. При этом компания отдельно указывает, что встроенный в саму ОС PHP не открыт внешним атакам, и риск эксплуатации уязвимостей оценивается как очень низкий.
ASUSTOR
Также официально подтвердила обе уязвимости и немедленно удалила из App Central пакеты PHP 7, 7.3, 7.4 и 8.1. Компания рекомендует немедленно сохранить резервные копии, удалить старые PHP-пакеты и использовать PHP 8.3 или 8.4.
Unraid
В сегодняшнем выпуске обновления операционной системы PHP обновлен до версии 8.4.27 с исправлениями уязвимостей. Разработчики рекомендуют всем пользователям обновиться до Unraid 7.3.4, при этом контейнеры с собственным PHP нужно обновлять отдельно: новая версия PHP в ОС не заменяет PHP внутри контейнера.
На момент публикации поста мы не обнаружили у других крупных вендоров NAS, например TerraMaster, UGREEN, Buffalo или Western Digital, публичного подтверждения подверженности этим уязвимостям — существуют лишь пользовательские обсуждения на форумах.
Но то, что проблему пока подтвердили лишь некоторые изготовители NAS, вовсе не гарантирует, что другие устройства не находятся в зоне риска — особенно если они достаточно стары или сделаны малоизвестным или закрывшимся производителем. Если у вас подобный NAS, то в первую очередь отключите его от Интернета, оставив доступными только в локальной сети, а уж затем изучайте, уязвим он или нет.
Облачные хранилища Nextcloud
Nextcloud — это бесплатная платформа с открытым исходным кодом для создания собственного облачного хранилища, своего рода альтернатива Google Drive, Яндекс.Диску или Облаку Mail. Она позволяет хранить и синхронизировать файлы между устройствами, делиться ими с другими пользователями, работать с документами, фотографиями, календарями и контактами. При этом данные могут храниться на собственном сервере или NAS, а не на серверах сторонней компании.
Если вы храните в Nextcloud важные данные, проверьте, как именно у вас настроено это облако. Если вы используете Nextcloud All-in-One, обновитесь до версии 14.4.1 — в ней уже устранили уязвимость.
Если Nextcloud настроен по-другому, вам нужно самостоятельно обновить PHP на самом устройстве или сервере.
Как защитить свои устройства и данные
- Используйте защиту от фишинга и вредоносных программ. Наше защитное решение автоматически блокирует фишинговые ресурсы и вредоносные программы, которые злоумышленники с использованием описанных уязвимостей могут размещать даже на легитимных сайтах.
- Следите за обновлениями. Если у вас есть сетевое хранилище, система умного дома, домашний сервер, медиасервер или любое другое устройство с веб-интерфейсом, первым делом проверьте сайт производителя и установите все доступные обновления. Если обновления пока что нет, временно отключите доступ к устройству из Интернета.
- Используйте надежные пароли. Большинство людей используют один и тот же пароль или его вариации для нескольких сайтов. Если злоумышленник найдет один из таких паролей на уязвимом сервере, он сможет взломать и другие ваши аккаунты. Мы рекомендуем генерировать и хранить сложные и уникальные пароли в Kaspersky Password Manager — так вам не придется запоминать свои учетные данные. Для всех важных аккаунтов обязательно включите двухфакторную аутентификацию — лучше всего использовать одноразовые коды, которые вам будет генерировать все тот же менеджер паролей.
- Держите резервную копию важных файлов офлайн. Не ограничивайтесь облачными хранилищами — обязательно храните резервную копию всех важных документов на жестком диске и на внешнем устройстве. Подробнее о том, как правильно делать резервные копии, читайте в нашей статье Интернет помнит не все.
Каким еще рискам подвержены ваши домашние устройства? Читайте в наших статьях:
Советы