PHP2Shell: что важно знать покупателям

Что произошло

21 октября исследователи раскрыли две критические уязвимости в PHP — языке, на котором работает значительная часть интернета. Они получили идентификаторы CVE-2026-109618 и CVE-2026-109619 и прозвище PHP2Shell и быстро стали одними из самых популярных запросов дня о безопасности, в том числе в Турции. Национальный центр кибербезопасности Великобритании (NCSC) предупредил, что проблема может позволить злоумышленникам выполнять команды на веб-серверах с PHP, а команда PHP выпустила исправления в тот же день.

Подробности

По данным Cloudflare, уязвимости раскрыли Calif.io, Wiz, OpenAI и Quarkslab; они затрагивают веб-серверы с PHP 5.4 и новее. Обе связаны с тем, как PHP работает с памятью при сбое запроса, и могут привести к отказу в обслуживании, удалённому выполнению кода или утечке данных. Malwarebytes оценивает критичность в 9,2 из 10 и отмечает, что злоумышленнику не нужно входить в систему. Исправленные версии — PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35; PHP 8.1 и более ранние версии больше не получают регулярных обновлений безопасности.

Насколько велик масштаб

Cloudflare со ссылкой на W3Techs сообщает, что PHP используют почти 70% сайтов, а Malwarebytes отмечает, что на нём построены WordPress, Drupal, Joomla и Magento. Cloudflare включила правила межсетевого экрана примерно за девять часов до публичного раскрытия и говорит, что уже видит атакующий трафик: злоумышленники меняют нагрузку, чтобы обойти фильтры. NCSC советует организациям найти все установки PHP, обновить их и рассмотреть отключение систем, если быстро установить исправление или снизить риск невозможно. Поэтому на этой неделе некоторые сайты ушли в режим обслуживания.

Второе предупреждение: скомпрометированные сертификаты

Новость о PHP пришла через день после другого общесетевого предупреждения, которое тоже попало в тренды — в Гонконге. Cloudflare сообщила, что закрытые ключи восьми промежуточных сертификатов eMudhra, которым широко доверяли браузеры и операционные системы, были скомпрометированы. С такими ключами злоумышленник мог бы подделать сертификат для любого домена и выдать себя за сайт. Cloudflare не обнаружила активной эксплуатации в своих сервисах и призвала никогда не «исправлять» ошибки сертификатов отключением проверки.

Почему это важно для платежей

Страницы оплаты, банковские порталы и сайт любого приложения для денежных переводов зависят от тех же веб-серверов и сертификатов. Покупателям ничего устанавливать не нужно: обновления PHP — задача владельцев сайтов, а не вашего устройства. Malwarebytes советует обращать внимание на неожиданный контент, загрузки, перенаправления или повторные запросы входа даже на знакомых сайтах и покидать страницу, если что-то выглядит странно. Сайт, закрытый на обслуживание, сам по себе не признак взлома.

За чем следить дальше

Важен момент. Данные Captify о поисковых запросах в Великобритании, приведённые ExchangeWire, показывают, что интерес к Чёрной пятнице растёт с октября и в неделю Чёрной пятницы превышает обычный уровень более чем в семь раз. В ближайшие недели ждите новых уведомлений об обновлениях от хостингов и интернет-магазинов и следите, будут ли какие-либо взломы связаны с PHP2Shell по итогам расследований.

Что это значит для пользователей Odix Pay

Советы ниже — общие правила безопасности. В приложении Odix Pay вы можете управлять картами Odix: заморозить карту в несколько касаний, если платёж выглядит подозрительно (это затронет только эту карту), и использовать виртуальную карту для покупок онлайн. В зависимости от карты онлайн-платежи подтверждаются в приложении или кодом из SMS. Доступность зависит от вашей страны, а комиссии указаны в приложении. Больше материалов — в разделе новостей Odix Pay.