21 жовтня 2026 року розробники PHP випустили екстрені виправлення двох критичних вразливостей. Вони дозволяють зловмисникам за певних умов проникати на сервери без знання паролів. Під загрозою можуть опинитися сайти невеликих магазинів, готелів, медичних кабінетів та інших підприємств.
Наскільки це небезпечно для звичайного бізнесу і скільки може коштувати захист? Чим загрожує злам невеликому бізнесу? Уявіть, що невідомий отримує доступ до сервера, на якому працює ваш сайт.
Стоматологічний кабінет: злочинець викрадає базу пацієнтів і вимагає гроші, погрожуючи опублікувати конфіденційні відомості. Невеликий готель: зловмисник отримує дані бронювань і розсилає гостям шахрайські вимоги про оплату. Інтернет-магазин: хакер краде клієнтську базу, підміняє платіжні реквізити або виводить магазин з ладу.
Корпоративний сайт: злочинець блокує його роботу, знищує доступні резервні копії і вимагає викуп за відновлення. Це можливі сценарії, а не неминучі наслідки. Масштаб збитків залежить від того, до яких даних і систем зловмисник отримає доступ.
Яка ймовірність, що зламають саме ваш сайт? Невеликий розмір бізнесу не захищає від хакерів. Злочинцю необов'язково знати про існування вашої компанії.
Спеціальні програми можуть автоматично перевіряти сайти на відомі вразливості. Достатньо однієї успішної атаки, щоб завдати серйозної шкоди. Точну ймовірність зламу окремого сайту назвати неможливо: вона залежить від стану програмного забезпечення і захисту сервера.
Але загроза вже не теоретична. Компанія Cloudflare повідомляє, що фіксує спроби використання нових вразливостей. Які сайти ризикують найбільше?
Перш за все — сайти, створені багато років тому і з тих пір практично не оновлювані. Причому регулярна зміна цін, фотографій і текстів зовсім не означає, що оновлюється програмне забезпечення сервера. Навіть якщо ваш сайт знаходиться на технічному обслуговуванні, варто перевірити, чи дійсно фахівці регулярно встановлюють оновлення безпеки.
Нові вразливості можуть зачіпати і порівняно сучасні сайти, якщо необхідні виправлення ще не встановлені. Наскільки терміново потрібно діяти? Дуже терміново.
Виправлення опубліковані 21 жовтня, але спроби атак вже зафіксовані. Американське Агентство національної безпеки рекомендує негайно оновлювати вразливі системи, а якщо захистити їх поки неможливо — розглядати тимчасове відключення. Міністерство фінансів Японії 21 жовтня навіть тимчасово призупинило роботу частини своїх веб-сервісів для проведення необхідних перевірок і оновлень.
Це не означає, що кожен вразливий сайт обов'язково зламають найближчими годинами. Але відкладати вирішення проблеми на наступний тиждень нерозумно. Що робити власнику бізнесу?
Зв'яжіться з людиною або компанією, які зазвичай обслуговують ваш сайт. Це може бути програміст, системний адміністратор або веб-студія. Достатньо відправити одне повідомлення: З'явилися критичні вразливості PHP2Shell, що дозволяють зламати сайт без пароля.
Перевірте, будь ласка, наш сайт і сервер. Чи захищені ми від цієї загрози? Якщо ні — що необхідно зробити, наскільки терміново і скільки це буде коштувати?
Не потрібно самостійно розбиратися в налаштуваннях сервера. Важливо отримати конкретну відповідь, чи захищений сайт, і якщо ні — коли проблему усунуть. У скільки це обійдеться?
Можливі три ситуації. Без додаткових витрат. Якщо оновлення входять у договір технічного обслуговування, фахівці можуть усунути проблему в рамках вже оплачених послуг.
Невелика разова робота. Якщо сайт сумісний з виправленнями, перевірка та оновлення можуть потребувати лише кількох годин роботи фахівця. Дорога модернізація.
Якщо сайт працює на давно застарілому програмному забезпеченні, можуть знадобитися суттєві зміни. Вартість залежить від складності сайту і в окремих випадках досягає сотень або тисяч євро. Втім, навіть для старих сайтів іноді існують спеціальні виправлення, що дозволяють уникнути негайної повної переробки.
Головне: якщо у вашого бізнесу є сайт, сьогодні варто зв'язатися з тими, хто його обслуговує. Навіть якщо все працює бездоганно. Кілька хвилин, витрачених на перевірку, можуть уберегти від витоку клієнтських даних, зупинки продажів і дорогого відновлення.
За матеріалами: PHP Foundation, Cloudflare, АНБ США, Міністерство фінансів Японії.
