Меня зовут Максим, я CPO в Sape.
Хакеры начали атаковать сайты через новую уязвимость в PHP еще 17 октября , когда защиты от нее не существовало. Amazon называет уязвимость массово эксплуатируемой. Cloudflare видит, как атакующие подстраивают атаки, чтобы обойти его защиту. В пиковый момент, по данным сервиса мониторинга Oh Dear, не работали 18,8% отслеживаемых сайтов (в обычный день 0,9%). Владельцы сами выключали их, лишь бы не взломали.
На PHP работает большая часть интернета: сайты на WordPress и 1С-Битрикс, интернет-магазины, корпоративные сайты. Если ваш сайт на PHP и его не обновили, он под угрозой прямо сейчас.
Как происходит взлом
Вы ничего не замечаете. Программа хакера сама перебирает тысячи сайтов и отправляет на них данные, как будто посетитель заполнил заявку или оформил заказ. Только вместо имени и телефона в них спрятан вредоносный код. Ни пароль, ни доступ к админке, ни даже форма на сайте для этого не нужны.
Код запускается на вашем сервере и получает доступ ко всему, что там хранится. Он может достать пароли от базы данных и ключи доступа к связанным сервисам: CRM, оплате, почте.
Что вы теряете
- Базу клиентов. Имена, телефоны, почты и история заказов уходят конкурентам или в открытый слив. Из резервной копии базу можно восстановить, но вернуть утекшие данные нельзя.
- Коммерческую информацию. Цены, заказы, обороты, данные из CRM и других систем, к которым подключен сайт.
- Деньги на штрафах. За утечку персональных данных компания платит от 3 до 15 млн рублей в зависимости от числа пострадавших. За повторную утечку 1–3% годовой выручки, минимум 20–25 млн рублей и до 500 млн рублей
- Заявки и звонки. Базу удаляют или шифруют и требуют выкуп, сайт перестает открываться. Каждый час простоя означает потерянные заказы.
- Поисковый трафик. Часто взломщики ничего не ломают открыто, а тихо подсаживают спам-ссылки и вредоносный код. Яндекс и Google помечают сайт как опасный, трафик и заявки падают, и со стороны кажется, что бизнес умер. Одна только проверка в Яндексе после чистки занимает до 30 дней, а позиции возвращаются месяцами.
Как дыру закрыли в PHP
21 октября разработчики PHP выпустили исправленные версии: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. После обновления такие данные больше не могут заставить сервер выполнить чужой код. Это единственная полная защита.
Что сделали мы и что это дает вам
- Заблокировали опасные запросы еще до того, как они доходят до сайта.
- Установили исправленные версии PHP почти на всех серверах.
- На некоторых серверах обновление требует больше времени, поэтому там пришлось временно отключить загрузку файлов. Из-за этого может не работать часть функций.
Это гарантирует, что через эту уязвимость никто не доберется до ваших аккаунтов, проектов, балансов и данных.
Пока работы не завершены, на pr.sape.ru может не работать часть функций, например загрузка файлов. Если заметили, что сервис ведет себя не как обычно, напишите в поддержку, поможем быстро.
Что сделать прямо сейчас, если у вас есть сайт
У некоторых компаний есть системы, которые работают, так что лучше не трогать: старый сервер, давно не обновлявшийся сайт, забытый внутренний сервис. В обычные дни это выглядит как экономия, а в такие недели именно через них приходят взломы.
Что стоит сделать прямо сейчас:
- Обновите PHP сегодня. Попросите разработчика или хостера поставить версию 8.5.12, 8.4.27, 8.3.36 или 8.2.35 и перезапустить PHP. Для более старых версий исправление можно установить из сторонних репозиториев, например sury.org, но это повод срочно переходить на новую.
- Проверьте резервную копию. Она должна делаться каждый день, и хотя бы одна копия должна быть от 16 октября или раньше, то есть до начала атак. Убедитесь, что из нее действительно можно восстановить сайт.
- Проверьте, не пометили ли сайт опасным. Яндекс Вебмастер: Оптимизация сайта → Безопасность и нарушения. Если список пуст, все в порядке. Google Search Console: Безопасность и меры, принятые вручную → Проблемы безопасности.
Кто хочет разобраться глубже, вот технический разбор (на английском).
