Php2shell
- Автор темы dell2201
- Дата начала
ну мне сказали что делают, в процессе
Уязвимость php2shell (CVSS 9.2): почему в сети экстренно обновляют PHP и что делать, если у вас старый сайт на PHP 5.6–8.1 — Разработка на vc.ru
Уязвимость php2shell, критические патчи для PHP, защита сайтов на PHP 5.6-8.1, советы по обновлению, рекомендации для администраторов серверов
ISP дало рекомендации
Debian-based системыRHEL-based системы
Обновите все пакеты isp-php, выполнив команды:
apt update<br>apt install --only-upgrade $(dpkg-query -W -f='${Package}\n' 'isp-php*' php 2>/dev/null)<br>
Перезапустите службы Apache и PHP-FPM, выполнив команды:
systemctl restart apache2 'apache2-isp@*' <br>systemctl restart 'php*fpm*'<br>
Фактические версии PHP и их значение в панели могут отличаться сразу после обновления - чтобы устранить несоответствие, перезагрузите сервер или перезапустите панель:
/usr/local/mgr5/sbin/mgrctl -m ispmgr -R<br>
Для веб-сервера в ispmanager включите WAF, выберите набор правил OWASP и убедитесь, что включены следующие правила:
Вручную через пакетный менеджер
Обновить PHP можно вручную через системный пакетный менеджер:Debian-based системыRHEL-based системы
Обновите все пакеты isp-php, выполнив команды:
apt update<br>apt install --only-upgrade $(dpkg-query -W -f='${Package}\n' 'isp-php*' php 2>/dev/null)<br>
Перезапустите службы Apache и PHP-FPM, выполнив команды:
systemctl restart apache2 'apache2-isp@*' <br>systemctl restart 'php*fpm*'<br>
Фактические версии PHP и их значение в панели могут отличаться сразу после обновления - чтобы устранить несоответствие, перезагрузите сервер или перезапустите панель:
/usr/local/mgr5/sbin/mgrctl -m ispmgr -R<br>
Если нет возможности обновить PHP
Если возможность обновить PHP отсутствует, рекомендуем прибегнуть к ограничению доступа к сайтам, переместив их с публичных адресов за VPN или WAF, на время устранения уязвимости.Для веб-сервера в ispmanager включите WAF, выберите набор правил OWASP и убедитесь, что включены следующие правила:
- Правила 920170 и 920180: Ограничение некорректных multipart-запросов, несоответствия разделителей запроса и усечение данных, которые используются для обмана обработчика PHP;
- Правила 920370 и 920380: Ограничение размера заголовков и параметров запроса для предотвращения отправки большого объема данных для вызова OOM;
- Правила 932100 - 932200: Изучение команд для ОС, которые были добавлены через запрос, для предотвращения использования уязвимости в памяти;
- Правила 933100–933190: Изучение входящих запросов на наличие вредоносного кода для предотвращения инъекций.
- Установить для параметра memory_limit значение -1 :
memory_limit=-1<br> - Использовать маленькие значения для параметра post_max_size:
- До 8 МБайт, если в проекте не требуется загрузка файлов;
- До 32 МБайт, если загрузка файлов необходима;
- Значение параметра upload_max_filesize должно быть обязательно ниже значения post_max_size;
- Установить для параметра session.upload_progress.enabled значение 0:
session.upload_progress.enabled=0<br> - Для PHP 8.5 установить значение параметра fatal_error_backtraces как 0:
fatal_error_backtraces=0<br>
После применения изменений, обязательно перезагрузите каждый worker или веб-сервер полностью; - Использовать контейнеры и cgroup для ограничения worker'ов веб-серверов, не исключая ограничения RLIMIT_AS и RLIMIT_DATA;
- Избавиться от любых некорректных и/или устаревших настроек для запросов, которые могут вызывать диагностические сообщения до своей инициализации.