😎 Как наши эксперты спасли слона Это не кликбейт и не выдумка. Слон по имени ElePHPant вот уже больше 25 лет является неофициальным символом PHP — одного из популярных мировых языков программирования. Именно в нем нашли и помогли устранить две опасных уязвимости эксперты PT SWARM (https://t.me/ptswarm) Алексей Соловьев и Никита Свешников. Если посчитать, PHP и правда тот еще слоняра, — держит на своих плечах 5,2 млн проектов на GitHub, архитектуру многих известных маркетплейсов, популярную у ретейлеров e-сommerce-платформу Magento 2, а еще — CMS-системы WordPress и Drupal, на которых работает большинство сайтов в глобальной сети. Только в России таких ресурсов больше 1,8 млн, и каждый из них оказался под угрозой. Что произошло Разве можно взломать целый язык программирования? Оказалось, что да. Причем, такие уязвимости куда опаснее дефектов в отдельном продукте, ведь пострадать могли миллионы систем на основе PHP по всему миру — от публичных веб-ресурсов до внутренних автоматизированных скриптов и серверных утилит. Бреши обнаружены в расширении PDO (PHP Data Objects) и драйвере pdo_firebird — ключевом механизме, который отвечает за безопасное взаимодействие приложений с базами данных, в нашем случае — PostgreSQL и Firebird. По иронии судьбы, именно эти компоненты были созданы в том числе и для защиты от SQL-инъекций, но сами оказались уязвимыми. Учитывая, что PostgreSQL в 2025 году была самой распространенной СУБД в мире, возможный сбой потребовал бы не только времени и вложений на восстановление процессов, но и стал бы сильным ударом по репутации сервиса. Делимся подробностями 1⃣ В первом случае нарушители могли бы зайти через недостаток безопасности PT-2026-39443 (CVE-2025-14179 в драйвере pdo_firebird, который нужен для подключения PHP к системе управления базами данных Firebird. Из-за недостаточно корректной обработки NUL-байта (\x00), на этапе подготовки запроса появлялась возможность внедрить произвольный SQL-код. В итоге атакующий получал возможность выполнять любые деструктивные операции с базой данных — от скрытого чтения конфиденциальных таблиц до их модификации или полного удаления. Дальше, в зависимости от архитектуры системы, были возможны захват панели администратора, компрометация персональных данных и даже полный контроль над серверной инфраструктурой. 2⃣ Используя, уязвимость PT-2025-52599 (CVE-2025-14180), злоумышленники могли бы добиться завершения процесса PHP на уровне операционной системы. Брешь возникает при работе PHP с СУБД PostgreSQL в режиме эмуляции запросов. Один из примеров ее потенциальной эксплуатации — абстрактный интернет-магазин, в который разработчики забыли добавить поддержку транзакций при выполнении важных операций с СУБД. На любом из этапов мог произойти сбой и смерть процесса, которая привела бы к десинхронизации данных. Например, при заказе вместо нормального адреса доставки в текстовом поле передавались бы поврежденные символы. Сайт не смог бы нормально их обработать из-за поломки механизма PHP, а операционная система мгновенно завершила бы этот процесс. Что в итоге? Деньги списаны, а вот физически создать заказ, оформить накладные и отправить купленную вещь на склад и в доставку сервис из-за ошибки не успел бы. Финалом такой истории могли бы быть долгие разбирательства с заказчиками и пострадавшая репутация. К счастью, все это гипотетические вероятности, которые не случатся. Мы уведомили об опасности команду разработки PHP, которая уже выпустила обновления. Так что просто обновите версию языка до актуальной, чтобы устранить ошибки. #PositiveЭксперты #PositiveTechnologies