Две опасные проблемы с интернет-безопасностью держат администраторов сайтов в напряжении21.10.2026 14:02

Сегодня в интернете настоящий бардак — обнародованы сведения о двух серьёзных уязвимостях, говорится в уведомлениях службы безопасности, изученных изданием Ars Technica. Первая связана с TLS-сертификатами, использующими чрезвычайно слабое шифрование, и может затронуть всё — от VPN до устройств интернета вещей. Вторая — серьёзная уязвимость языка программирования PHP, угрожающая системам управления контентом, в том числе WordPress и Drupal. По словам экспертов по безопасности, обе проблемы могут привести к масштабным атакам и потребовать колоссальных усилий по устранению последствий.

PHP Foundation сообщила в X, что выпускает исправления для двух критических уязвимостей, которым присвоена оценка 9,2 из 10 по шкале серьёзности. Перед публикацией исправлений сегодня в 14:00 UTC (10:00 по восточному времени США) организация заявила: «Пользователям PHP рекомендуется подготовиться к обновлению», добавив, что выпустит их «раньше, если сведения станут общедоступными или появятся доказательства активной эксплуатации».

Предупреждение появилось после публикации видео, на котором инструмент под названием PHP2Shell выполняет код на веб-серверах, в том числе с последними версиями WordPress, MediaWiki, Symphony, Drupal и других сайтов на PHP. Компания по кибербезопасности watchTowr утверждает, что подтвердила наличие уязвимости и что она затрагивает все версии PHP, начиная с PHP 5 (2004 год). «Согласно неподтверждённому сообщению, уязвимость позволяет злоумышленнику запускать собственный код на сервере с PHP и, возможно, получить над ним контроль», — говорится в ответах на часто задаваемые вопросы об эксплойте watchTowr.

Другая компания, Sansec, заявила, что ожидает «начала массовых атак в течение 15 минут после выпуска исправлений». На фоне всего происходящего веб-администраторам, вероятно, придётся срочно устранять уязвимость, поэтому некоторые сайты на PHP могут ненадолго перестать работать.

Проблема с TLS-сертификатами — совсем другая история, причём крайне неприятная. Компания eMudhra из Индии сообщила, что восемь её промежуточных сертификатов центров сертификации скомпрометированы. Они «ведут к корневым сертификатам, которым доверяют программы Mozilla, Microsoft, Apple и Chrome, а также многие нижестоящие хранилища доверенных сертификатов». Проблема в слабости закрытых ключей: злоумышленники могут подделывать учётные данные для множества сайтов и приложений.

Длина скомпрометированных закрытых ключей составляла от трёх до восьми бит вместо обычных 384 бит. В частности, использованные eMudhra закрытые ключи имели длину 4, 56, 66, 115, 155, 156, 230 и 237 бит, сообщает Hacker News и другие издания. Их можно восстановить, перебрав всего 256 возможных чисел.

Сертификатам eMudhra широко доверяли такие хостинговые компании, как Cloudflare, а также браузеры, операционные системы, устройства интернета вещей и другие устройства, подключающиеся к интернету. Подделав сертификаты доменов, злоумышленники могут использовать эти домены для имитации серверов и перехвата трафика.

Mozilla, Google и Apple заблокировали скомпрометированные сертификаты в своих браузерах. Однако специалист по безопасности Mozilla Деннис Джексон предупредил, что системная утилита macOS может продолжать доверять скомпрометированным сертификатам, поскольку не проверяет сведения об отзыве сертификатов. Эта проблема касается и многих других клиентских программ. eMudhra отозвала все восемь сертификатов и возложила вину на скрипт, который использовался для их генерации.

В настоящее время наибольший риск угрожает VPN, особенно в странах, где власти активно пытаются перехватывать трафик. Однако проблема также может затронуть устройства интернета вещей, серверы без поддержки и другие части сети. «Это потребует колоссальных усилий по устранению последствий — масштаб будет больше, чем у Heartbleed», — сказал изданию Ars инженер-криптограф Филиппо Вальсорда, имея в виду предыдущую ошибку TLS, которая привела к массовым атакам в 2014 году.