Администраторы, управляющие PHP-приложениями, столкнулись с необходимостью срочной подготовки к внеплановому обновлению безопасности. По данным The Hacker News, разработчики PHP намерены выпустить патч 21 октября в 14:00 по всемирному координированному времени (UTC) для устранения двух критических уязвимостей удаленного выполнения кода (RCE), получивших общее название PHP2Shell. Обеим уязвимостям присвоен уровень опасности 9.2 из 10, что вызвало серьезную тревогу в индустрии веб-разработки. Перед официальным релизом эксперты по безопасности и разработчики ядра PHP настоятельно рекомендовали не полагаться на временные конфигурационные обходные пути.
Ограничения конфигурационных обходных путей
Первоначальные рекомендации, распространявшиеся в блогах по безопасности, сводились к изменению одного параметра: отключению отслеживания прогресса загрузки файлов через параметр session.upload_progress.enabled=0. Токийская компания GMO Flatt Security предложила эту мера в начале дня 21 октября, однако позже пересмотрела свою позицию, предупредив, что одно лишь изменение конфигурации не является полноценным решением.
Разработчики ядра PHP подтвердили эти опасения. Джина Питер Баньярд, разработчик PHP и участник проекта, финансируемого PHP Foundation, подчеркнула, что единственным надежным средством защиты остается установка официального патча. Независимые аудиты кода также ставят под сомнение эффективность изменения этого параметра, указывая на то, что предполагаемая уязвимость может затрагивать иные механизмы интерпретатора.
Сетевая изоляция и практические рекомендации
До появления официальных обновлений эксперты рекомендуют сосредоточиться на снижении рисков. Организации, не имеющие возможности обновить ПО немедленно, должны рассмотреть возможность изоляции общедоступных приложений от внешней сети. Администраторам также советуют ограничить сетевой доступ с помощью VPN, настроить строгие правила доступа на уровне брандмауэров и минимизировать привилегии учетных записей на серверах.