Уязвимость PHP2Shell в PHP закрыла две японские онлайн-игры с 10-летней историей

Критическая уязвимость в языке программирования PHP привела к закрытию двух японских онлайн-игр, которые проработали более десяти лет. Первой 21 октября остановилась браузерная World Quest. Команда проекта сообщила в официальном аккаунте в X, что сервер работает на уязвимой версии PHP, а старая система не позволяет надежно его защитить. На следующий день операторы мобильной ролевой игры Bokumaka: Save My Demon World! объявили о прекращении работы по той же причине.

Две уязвимости, получившие общее название PHP2Shell, стали публично известны 20–21 октября: подробности утекли в сеть раньше официального раскрытия. Каждой присвоили оценку 9,2 из 10 по шкале CVSS 4.0. Злоумышленник может выполнить на сервере произвольный код без авторизации с правами веб-приложения и, например, получить доступ к данным пользователей.

Исправления вышли для актуальных веток PHP: 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Для PHP 7.4–8.1 патчи доступны лишь в исходниках, а версии 5.4–7.3 исправлений не получат. Проектам на таких версиях остается переезжать на новый софт или отключаться.

Крупные японские издатели отделались экстренными работами на серверах. Небольшим проектам на старом коде такой путь оказался недоступен. Перепись инфраструктуры стоила бы им дороже, чем сама игра приносит.

Ранее сообщалось, что из-за этих же уязвимостей больницы, университеты и органы власти в Германии массово отключают свои сайты. Ситуация показывает, насколько критичной может быть поддержка устаревших версий PHP для небольших команд и организаций.

Для владельцев проектов на старых версиях PHP остается два пути: миграция на поддерживаемые версии или закрытие сервиса. В случае с World Quest и Bokumaka выбор был сделан в пользу остановки, поскольку обновление инфраструктуры оказалось экономически нецелесообразным.