21 октября в PHP, языке сценариев, который используется на множестве веб-сайтов и онлайн-сервисов, были обнаружены две критические уязвимости: CVE-2026-109618 и CVE-2026-109619. Злоумышленники могут использовать их для удаленного выполнения команд на любом сервере, работающем под управлением PHP, без какой-либо аутентификации. Этот эксплойт получил название PHP2Shell.

Команда безопасности PHP объявила о предстоящем экстренном обновлении 20 октября и выпустила исправления для уязвимостей уже на следующий день.

Ранее мы представили технические детали этих уязвимостей и expliqué ce que les entreprises et les administrateurs de serveurs doivent faire. Возможно, вы спокойно проигнорировали эту новость, потому что не управляете никакими серверами, но, к сожалению, проблема касается не только бизнеса.

Почти 70% веб-сайтов используют PHP, включая сервисы, которыми мы пользуемся каждый день: вики-ресурсы, интернет-магазины, подключенные устройства с веб-интерфейсами, домашние сетевые хранилища (NAS), контроллеры умного дома и многое другое.

Сегодня мы объясним, как эти уязвимости могут повлиять на вас лично и что вы можете сделать для снижения рисков.

Как эти уязвимости могут затронуть обычных пользователей

Кража аккаунтов и личных данных

Уязвимость позволяет злоумышленнику похитить токены аутентификации из памяти сервера. Эти токены работают как электронные пропуска: они сообщают веб-сайту, что пользователь уже вошел в систему. Таким образом, злоумышленник может получить доступ к чужому аккаунту без ввода пароля или кода двухфакторной аутентификации, подвергая опасности сообщения, документы, адреса доставки, историю заказов и другую конфиденциальную информацию.

Потеря файлов на домашних устройствах

Если вы используете дома сетевое хранилище (NAS) или систему видеонаблюдения, работающую на уязвимой версии PHP, она также может оказаться под угрозой. В зависимости от полученного уровня доступа злоумышленники могут копировать, удалять или шифровать файлы, к которым им удастся получить доступ.

заражение вредоносным ПО

Если злоумышленник захватывает контроль над уязвимым веб-сайтом, он может делать с ним практически все что угодно: заставлять посетителей загружать вредоносный файл или переходить по фишинговой ссылке, отображать опасные инструкции, заменять формы оплаты или страницы входа вредоносными версиями — и этот список можно продолжать долго. Таким образом, человек, посещающий легитимный веб-сайт, может не только потерять доступ к своему аккаунту, но и лишиться денег или случайно заразить свое устройство вредоносным ПО.

Вот несколько примеров сервисов, которые напрямую затронуты этими уязвимостями.

Какие сервисы затронуты уязвимостями PHP

Jeedom

Jeedom — это платформа для умного дома, которая позволяет управлять освещением, датчиками, отоплением, жалюзи и домашними IoT-устройствами. Злоумышленники могут использовать ее в различных целях: отключать сигнализацию, отслеживать периоды отсутствия жильцов, получать доступ к видео с домофона и т. д.

Разработчики подтвердили, что новая уязвимость затронула их приложение, и уже выпустили экстренное обновление Jeedom 4.6.2. Пользователям необходимо запустить обновление дважды, чтобы оно сработало правильно. По словам разработчиков, полностью исправленная версия для частных лиц будет выпущена в ближайшие дни.

Веб-сайты, которыми мы пользуемся каждый день

Как отмечалось выше, PHP используется примерно на 70% веб-сайтов. Это не значит, что все они уязвимы: все зависит от используемой версии PHP и от того, обновили ли ее владельцы сайта. Многие правительственные сайты в Европе уже приостановили свою работу из-за новой уязвимости.

К сожалению, веб-сайт может оставаться уязвимым, даже если он кажется работающим нормально. Злоумышленник потенциально может взять под контроль любой легитимный сайт, сервер которого еще не был исправлен. Он может подделывать страницы оплаты или входа, размещать вредоносные файлы или убеждать пользователей загрузить «срочное обновление», которое на самом деле является вредоносным ПО.

Обычные пользователи не имеют надежного способа проверить, являются ли эти инструкции или файлы безопасными. Поэтому обязательно используйте надежную защиту от фишинга и вредоносных программ. Если вы подозреваете, что ваши данные могли быть украдены, проверьте активные сеансы в настройках вашей учетной записи. Если вы заметили подозрительную активность или устройства, которые вы не узнаете, завершите все активные сеансы и смените пароль. Используйте менеджер паролей: он может создать действительно надежный и уникальный пароль, который вам не придется запоминать.

Видеоигры

Плохие новости для геймеров: некоторые видеоигры, серверы которых используют PHP, также подвержены риску. Если вы не хотите, чтобы злоумышленники захватили контроль над вашими аккаунтами, не забудьте обновить пароли на своих игровых платформах, в магазинах и учетных записях.

Чтобы выиграть время для развертывания обновлений, некоторые разработчики временно отключили свои сервисы. Final Fantasy XIV, Pokemon Champions, игры от Bandai Namco Entertainment, Uma Musume: Pretty Derby, Granblue Fantasy, Shadowverse: Worlds Beyond и многие другие ушли на экстренное обслуживание. Nintendo Switch Online, а также магазины GOG и Steam также пострадали.

К сожалению, иногда последствия оказывались еще более радикальными. Вчера разработчики World Quest объявили о закрытии игры навсегда после 15 лет существования: она опиралась на устаревшую инфраструктуру, исправление которой было бы чрезвычайно сложным и дорогостоящим. По той же причине мобильный игра Please Save My Pandemonium! закрылась после более чем десяти лет работы.

Домашние сетевые хранилища (NAS)

«Домашние облака» стали популярными в последние годы, и на то есть веские причины: многие пользователи предпочитают хранить резервные копии данных дома, а не в сети. Несколько компаний производят устройства NAS, и по меньшей мере три из них — QNAP, Synology и ASUSTOR — сообщили, что эти уязвимости затронули их продукты. Обновление также было выпущено для Unraid, операционной системы для домашних серверов, сетевых хранилищ и медиасерверов.

QNAP

Производитель подтвердил, что уязвимости затрагивают несколько версий его операционных систем для NAS — QTS и QuTS hero, — а также такие приложения, как QuMagie, Note Station 3 и отдельные версии QVR Surveillance. Успешная атака может поставить под угрозу фотографии, документы, заметки и записи с камер.

На момент публикации QNAP все еще готовит обновления. Поэтому первоочередная задача — временно отключить NAS от интернета. QNAP рекомендует отключить перенаправление портов на роутере, запретить NAS автоматически открывать порты и разрешить доступ к панели администрирования только из домашней сети или через VPN.

Synology

Обе уязвимости были официально подтверждены в пакетах PHP 7.3, 7.4 и с 8.0 по 8.4, а также в Mail Station и Synology Calendar. Исправления уже выпущены для PHP начиная с версии 7.4, а также для Mail Station и Synology Calendar. PHP 7.3 исправления не получит. Компания также уточняет, что встроенный в ее операционную систему компонент PHP недоступен извне устройства, поэтому риск атаки очень мал.

ASUSTOR

ASUSTOR также официально подтвердила обе уязвимости и незамедлительно ударила из App Central пакеты PHP 7, 7.3, 7.4 и 8.1. Компания рекомендует немедленно сделать резервную копию данных, удалить старые пакеты PHP и использовать PHP 8.3 или 8.4.

Unraid

В выпущенном сегодня обновлении операционной системы PHP был обновлен до версии 8.4.27, в которой содержатся исправления для этих уязвимостей. Разработчики рекомендуют всем пользователям обновиться до Unraid 7.3.4. Контейнеры с собственными установками PHP необходимо обновлять отдельно: новая версия PHP, входящая в состав операционной системы, не заменяет PHP, установленный внутри контейнеров.

На момент публикации мы не обнаружили публичных подтверждений от других крупных производителей, таких как TerraMaster, UGREEN, Buffalo или Western Digital, о том, что их устройства подвержены уязвимостям — только обсуждения пользователей на форумах.

Однако тот факт, что лишь некоторые производители NAS пока подтвердили проблему, не гарантирует, что ваши устройства в безопасности, особенно если они относительно старые либо выпущены малоизвестным или уже прекратившим существование брендом. В таком случае сначала отключите эти устройства от интернета, оставив доступ к ним только в локальной сети, а затем проверьте их на уязвимость.

Облачное хранилище Nextcloud

Nextcloud — это бесплатная платформа с открытым исходным кодом для создания собственного облачного хранилища, которая выступает альтернативой Google Drive, Dropbox и Microsoft OneDrive. Она позволяет хранить и синхронизировать файлы на нескольких устройствах, делиться ими с другими пользователями, а также работать с документами, фотографиями, календарями и контактами. Данные могут храниться на вашем собственном сервере или NAS, а не на серверах сторонней компании.

Если вы храните важные данные в Nextcloud, проверьте конфигурацию вашего облачного экземпляра. Если вы используете Nextcloud All-in-One, effectuez la mise à jour vers la version 14.4.1, в котором уязвимость уже устранена.

Если ваша установка Nextcloud настроена иначе, вам необходимо самостоятельно обновить PHP на устройстве или сервере.

Как защитить устройства и данные

Используйте защиту от фишинга и вредоносного ПО. Наше защитное решение автоматически блокирует фишинговые страницы и вредоносные программы, даже если злоумышленники размещают их на легитимных сайтах.
Следите за обновлениями. Если у вас есть сетевое хранилище, система умного дома, домашний или медиасервер либо любое другое устройство с веб-интерфейсом, первым делом загляните на сайт производителя и установите все доступные обновления. Если обновление еще не вышло, временно отключите доступ устройства к интернету.
Используйте надежные пароли. Большинство людей используют один и тот же пароль или его вариации на нескольких сайтах. Если злоумышленник получит один из таких паролей с уязвимого сервера, он также сможет скомпрометировать и другие ваши аккаунты. Мы рекомендуем генерировать и хранить надежные уникальные пароли в Kaspersky Password Manager, чтобы вам не приходилось запоминать учетные данные самостоятельно. Обязательно включите двухфакторную аутентификацию для всех важных аккаунтов — желательно с использованием одноразовых кодов, сгенерированных в том же менеджере паролей.
Храните оффлайн-резервную копию важных файлов. Не полагайтесь исключительно на облачное хранилище: обязательно сохраняйте резервную копию всех важных документов как на жесткий диск, так и на внешний накопитель. Подробнее о том, как правильно делать бэкапы, читайте в нашей статье «Интернет помнит не всё».

Какие еще угрозы могут поджидать устройства дома? Читайте наши статьи: Когда телевизор становится трояном: новые риски вредоносных прокси Программы-вымогатели добрались до личных бэкапов Превращает ли ваша ТВ-приставка вашу сеть в прокси для других участников? Работает ли ваш роутер тайным агентом иностранных разведок? Как защитить свой умный дом

Какие еще угрозы могут поджидать устройства дома? Читайте наши статьи: