Уязвимость в PHP: банкам и госорганам предписали отключать сайты

Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ разослал через ГосСОПКА предписание объектам критической информационной инфраструктуры. Если обновить PHP на серверах быстро нельзя, сайты нужно временно отключать. Повод — две критические уязвимости в PHP, обнаруженные 21 октября. Исправления разработчики уже выпустили, но не все успеют их установить.

Как уязвимость позволяет захватить сервер

Обе уязвимости критические. Они дают злоумышленнику возможность удалённо выполнить код на сервере без пароля и извлечь из памяти секретные данные — в том числе пароли и ключи. Именно поэтому сайты по всему миру временно останавливали работу — для предосторожности. В Европе под отключение попали ресурсы госорганов, больниц и других организаций.

Уязвимости нашёл искусственный интеллект. Разработчики закрыли дыры экстренным обновлением 21 октября. Однако установить патч на работающий сайт — не то же самое, что обновить приложение на телефоне.

Кого касается предписание ФСБ

Директива адресована объектам критической информационной инфраструктуры. Среди них — информационные системы и сети связи госорганов, а также компании финансового, энергетического, транспортного, медицинского и ряда других секторов. То есть банки и платёжные сервисы попадают в зону действия предписания напрямую.

Масштаб проблемы оценить помогает статистика W3Techs: доля сайтов с контентом на русском языке, работающих на PHP, составляет 90,8%, а в мире этот показатель равен 69,3%. Для крупных порталов с большим количеством доработок обновление может оказаться непростым, отметил Валентин Малых — руководитель центра разработки больших языковых моделей MWS AI (входит в МТС Web Services).

Если банк или госорган не успевает поставить патч, ему предписано ограничить внешний доступ к уязвимым веб-серверам — вплоть до полного отключения. Формулировка НКЦКИ: «рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам вплоть до их отключения».

Что делать владельцам сайтов, кроме обновления

Помимо установки обновлений, организациям нужно проверить серверы антивирусом и просмотреть журналы на следы взлома. Уязвимость позволяет атакующему закрепиться в системе. Просто закрыть дыру может быть недостаточно, если злоумышленник уже успел ею воспользоваться.

Малых советует владельцам сайтов поставить обновления и убедиться, что злоумышленники не успели воспользоваться уязвимостью. Это стандартная процедура после критических патчей: сначала закрыть вход, затем убедиться, что внутри никого не осталось.

Для читателей — клиентов банков — это означает возможные кратковременные перерывы в работе сайтов и мобильных приложений кредитных организаций. Если сайт банка временно недоступен, вероятная причина — технические работы по обновлению, а не авария. В таких случаях стоит подождать или воспользоваться другим каналом обслуживания, если банк его предлагает.

Какие сайты могут не отключать

Предписание не требует отключать всё подряд. Речь идёт о временной мере для тех, кто не успевает обновиться. Если патч установлен и проверка не выявила следов взлома, сайт может продолжать работу. Исключение — если в ходе проверки обнаружены признаки компрометации: тогда отключение и восстановление из резервных копий становятся неизбежными.

Ситуация развивается быстро: уязвимости нашли 21 октября, в тот же день появились исправления, а предписание разослали уже после. Насколько массовыми будут отключения в России, пока не сообщается. Регулятор причин для паники не называет — речь о профилактической мере.

Тем, кто следит за устойчивостью финансовой системы, стоит помнить: киберриски для банков — не абстракция. Ранее мы разбирали, как ФНС всё чаще запрашивает данные клиентов банков вне проверок — другой пример того, как внешние требования меняют работу кредитных организаций.