DigitalOcean призвала клиентов срочно обновить PHP из-за критических уязвимостей

DigitalOcean призвала клиентов срочно обновить PHP из-за критических уязвимостей. Фото: из архива компании

Обе позволяют злоумышленнику выполнить произвольный код на сервере под управлением PHP, что потенциально ведёт к полной компрометации системы; код эксплойта, демонстрирующий принципиальную возможность использования, находится в открытом доступе, и, кроме установки патчей, полных способов защиты нет, поэтому единственный безопасный путь — обновление PHP до исправленной версии.

PHP используется в значительной части веб-технологий, включая Cloudways от DigitalOcean, а также WordPress, Drupal, Laravel и пользовательские приложения на платформе DigitalOcean.

Компания уведомляет всех клиентов о необходимости проверить как размещённые на DigitalOcean ресурсы, так и остальную инфраструктуру.

Cloudways как управляемый продукт автоматически обновляет экземпляры WordPress от имени клиента, однако для неуправляемых сервисов и другой инфраструктуры проблема требует действий. Уязвимости затрагивают все версии PHP начиная с PHP 5.

В зоне риска находятся Droplets, рабочие нагрузки DOKS, приложения App Platform, пользовательские контейнеры и ранее развёрнутые образы Marketplace 1-Click, включая WordPress, LAMP, LEMP и Laravel.

Проект PHP выпустил исправления для веток 8.5 (8.5.12), 8.4 (8.4.27), 8.3 (8.3.36) и 8.2 (8.2.35), тогда как для 8.1 и более ранних версий патч недоступен, поэтому компания призывает немедленно обновиться до поддерживаемой версии.

Среди затронутых продуктов DigitalOcean — образы 1-Click на Marketplace, которые исключены из списка до исправления, чтобы новые развёртывания не начинались с уязвимости, при этом уже развёрнутые экземпляры не обновляются автоматически и требуют обновления PHP.

Functions, где среды выполнения PHP 8.2–8.5 исправлены, версия 8.0 устарела, а клиентам нужно повторно развернуть приложение.

App Platform, где обновлён PHP buildpack и требуется переразвертывание, а при развёртывании из собственного Dockerfile или образа контейнера нужно обновить версию PHP в этом образе.

Cloudways, где DigitalOcean активно обновляет поддерживаемые версии PHP 5.6 и выше с использованием расширенной поддержки LTS-партнёрства для старых версий, не принуждая клиентов к миграции, применяет временные меры защиты PHP и целевые правила WAF и просит следить за обновлениями на status.cloudways.com.

В SnapShooter, где все исправления внесены и клиентам ничего не нужно делать.

Droplets, GPU Droplets, Bare Metal GPUs, AMD Developer Cloud, Paperspace, Kubernetes (DOKS), микровиртуальные машины, управляемые агенты, Container Registry, снимки и резервные копии отмечены как не затронутые по умолчанию, но клиентам рекомендуется проверить свои загрузки.

Если PHP установлен или образ контейнера его содержит, его нужно обновить, пересобрать и развернуть заново, а восстановление снимка или резервной копии, созданных до патча, возвращает уязвимую версию.

Бессерверный вывод, агентская платформа, управляемые базы данных, пространства и тома, балансировщики нагрузки, мониторинг и стартовые наборы Launchpad не используют PHP и не требуют действий.

Команда DigitalOcean рекомендует провести инвентаризацию всех систем с PHP, включая WordPress и другие CMS, административные панели вроде phpMyAdmin и устаревшие приложения; немедленно установить патч, а при использовании WordPress или Laravel также применить патчи конкретного поставщика.

При PHP 8.1 или более ранней версии обновиться до 8.2 или новее, поскольку версии с прекращённой поддержкой официальных исправлений не получат.

При невозможности немедленного обновления нкжно обратиться к опубликованным PHP Foundation мерам снижения уязвимости к определённым путям атак, которые сами по себе не обеспечат безопасность и уменьшить радиус поражения, ограничив публичный доступ к PHP-приложениям, не требующим доступа из интернета, настроив правила брандмауэра и WAF и мониторинг.

Клиентам за Cloudflare  нужно активировать выпущенные экстренные правила WAF. Для Droplets с управлением клиентом предлагается проверить версию командой php -v, обновить пакеты через apt на Ubuntu и Debian или dnf на CentOS, Fedora, Rocky Linux и AlmaLinux (с оговоркой, что работа над обновлениями для этой серии на момент публикации продолжается), после чего перезапустить PHP-FPM или веб-сервер, чтобы загрузить новую версию.

Если исправленной версии в репозиториях дистрибутива ещё нет — проверить уведомление о безопасности дистрибутива или обновиться до поддерживаемой ветки PHP из доверенного репозитория.

В рамках модели общей ответственности DigitalOcean уведомляет клиентов по электронной почте и обращается к клиентам управляемых аккаунтов, приостановил поддержку затронутых образов 1-Click до выпуска обновления, выпускает исправления для затронутых сред выполнения и управляемых сервисов и может временно ограничивать трафик к ресурсам с признаками компрометации.

В компании подчёркивают, что не могут вносить изменения в PHP от имени клиента: DigitalOcean обеспечивает безопасность ресурсов облачного экземпляра, таких как физическая безопасность и уровень виртуализации, и внедряет обновления PHP в продукты PaaS и SaaS вроде App Platform, Cloudways и Functions, где ответственность за среду выполнения лежит на ней.

Безопасность содержимого экземпляра, включая операционную систему и установленное ПО, лежит на клиенте.

Проверить установку обновлений можно по списку исправленных версий, а если PHP установлен через менеджер пакетов, номер версии может не измениться, поэтому стоит проверить журнал изменений пакета на предмет CVE-2026-109618 и CVE-2026-109619 и перезапустить PHP-FPM или Apache.

Установка патча закрывает уязвимость, но не устраняет последствия действий злоумышленника, проникшего в систему до обновления, поэтому после обновления и перезапуска следует проверить наличие признаков компрометации, помня, что попытка — это не компромисс и многие попытки потерпят неудачу, особенно на серверах с установленными обновлениями.