Версія PHP і веб-сервера

Перевіряємо версію PHP і програмного забезпечення веб-сервера. PHP 7.4 і нижче — end-of-life, більше не отримує патчі безпеки.

01 Що це таке?

PHP — це серверна мова програмування, на якій побудовано WordPress, Joomla, Magento і тисячі інших сайтів. Кожна версія PHP підтримується певний час, після чого переходить у статус End-of-Life (EOL) — більше не отримує оновлень безпеки. PHP 7.4 вийшов з підтримки 28 листопада 2022 року. PHP 8.0 — 26 листопада 2023 року. Сайти на цих версіях відкриті для вразливостей, виявлених після дати EOL, і ніколи не отримають виправлень.

02 Чому це важливо для бізнесу?

→PHP 7.4 EOL: виправлення безпеки більше не виходять — будь-яка нова вразливість залишається незакритою
→WordPress 6.x офіційно вимагає PHP 7.4+, але рекомендує PHP 8.1+ для безпеки і продуктивності
→Стара версія PHP — перша перевірка хостингу при технічному аудиті потенційних партнерів
→PHP 8.x на 3x швидший за PHP 7.x у деяких сценаріях (JIT компілятор)
→Деякі хостинг-провайдери виводять старі версії PHP з підтримки і повідомляють лише за місяць

03 Що саме перевіряємо

✓Версія PHP (через HTTP заголовки X-Powered-By або PHP ID якщо відкриті)
✓Статус підтримки версії: активна, security-only, EOL
✓Версія веб-сервера: Apache, Nginx (через Server заголовок)
✓Версія OpenSSL (через SSL-сертифікат)
✓Розкриття версії через заголовки — саме собою є проблемою безпеки (fingerprinting)

04 Типові проблеми

PHP 7.4 або нижче на продакшні

Найпоширеніша ситуація: хостинг не мігрував автоматично, або розробник побоюється змін. PHP 7.4 EOL — будь-яка нова CVE-вразливість PHP назавжди залишається відкритою.

X-Powered-By: PHP/7.4.33 → EOL since Nov 2022

Apache 2.2.x — версія 2009 року

Трапляється на старих VPS і shared-хостингах. Apache 2.2 EOL з 2017 року. Містить безліч виправлених вразливостей, які на старій версії залишаються відкритими.

Server: Apache/2.2.34 → EOL, доступні 500+ CVE

05 Вплив на бізнес

Сайт на EOL-версії PHP — це відкрита рана в захисті. Зловмисники активно сканують інтернет і атакують сайти з відомими вразливостями. Злам сайту означає втрату даних клієнтів, штрафи за GDPR/закон про захист персональних даних і тижні відновлення роботи.

Хочете автоматичну перевірку цього параметра?

Rank Sentinel моніторить це і ще 20+ параметрів — щодня, без вашої участі.

🚀 Підключити моніторинг

5 000 грн/рік · Beta-ціна

Деталі перевірки

Критичність: Висока
Частота: Щомісяця
Категорія: security

Схожі перевірки

🔒

SSL-сертифікат

Перевіряємо дійсність, рейтинг і термін дії SSL-сертифіката — щодня, із попередженням за 30 і 7 днів до закінчення.

🛡

HTTP Security Headers

Перевіряємо наявність і правильне налаштування заголовків безпеки HTTP, які захищають від XSS, clickjacking та інших атак.

📦

Вразливості JS-бібліотек

Знаходимо застарілі версії jQuery, Bootstrap та інших бібліотек з відомими CVE-вразливостями, які можуть бути проексплуатовані хакерами.