Divas kritiskas PHP ievainojamības apdraud vietnes visā pasaulē

PHP programmēšanas valodas izstrādātāju komanda 21. oktobrī paziņoja, ka atklājusi divas ievainojamības, kuras kiberdrošības vērtēšanas skalā CVSS saņēmušas 9,2 balles no 10, proti, kritisku bīstamības līmeni. Ievainojamības ļauj uzbrucējam bez autentifikācijas attālināti palaist kodu serverī. Saskaņā ar W3Techs aplēsēm PHP izmanto aptuveni 70% visu interneta vietņu, tāpēc apdraudējums skar plašu auditoriju. Izstrādātāji aicina nekavējoties instalēt atjauninājumus, kas pieejami PHP 8.2 un jaunākām versijām.

Kas ir PHP

PHP ir atvērtā koda skriptu valoda, ko 1995. gadā radīja dāņu programmētājs Rasmuss Lerdorfs. Tā darbina daudzu vietņu un tiešsaistes pakalpojumu servera pusi. Valodas attīstībā piedalās PHP Group, bezpeļņas organizācija PHP Foundation un neatkarīgi atbalstītāji. Daudzas lielas vietnes, tostarp Facebook, sākotnēji būvētas ar PHP, un daļa tās lieto joprojām, lai izvairītos no dārgas koda pārrakstīšanas.

Kā ievainojamības darbojas

Abas ir saistītas ar kļūdām atmiņas apstrādē. Pirmajā gadījumā sistēma nepareizi apstrādā pieprasījumu un avarē, bet atmiņas atbrīvošanas laikā cita kļūda ļauj uzbrucējam pārņemt servera kontroli. Otrajā gadījumā servera atmiņā nejauši paliek iepriekšējā lietotāja datu atliekas, un tas ļauj palaist ļaunprātīgas programmas. Uzbrucēji varētu piekļūt failiem un datubāzēm, mainīt vietnes saturu, novirzīt datplūsmu vai izmantot serveri surogātpasta sūtīšanai un DDoS uzbrukumiem.

Kā tās atrada

Ievainojamības neatkarīgi atklāja divas pētnieku komandas, izmantojot mākslīgā intelekta modeļus. Uzņēmuma Calif pētnieks Raiens Ostins tās atrada augustā, bet Wiz speciālisti ziņoja izstrādātājiem par tām pašām problēmām. OpenAI informēja, ka PHP komanda divus mēnešus strādāja ar Wiz, Cloudflare un citiem partneriem, lai izlaistu labojumu pirms plašas ļaunprātīgas izmantošanas. PHP Foundation norādīja, ka ārējs drošības audits pazīmes par vienu no problēmām konstatēja jau 2024. gadā, taču konkrētu uzbrukuma veidu tad neatrada.

Kam draud risks

Vairāku valstu, tostarp Beļģijas, Lielbritānijas, Dānijas, Nīderlandes, Somijas un Francijas, valsts iestādes uz laiku atslēdza savas vietnes. Krievijā, kur PHP izmanto vairāk nekā 90% vietņu, hostinga uzņēmums Reg.ru ierobežoja failu augšupielādi, bet televīzijas kanāls Dožd uz laiku izslēdza savu vietni. Risks saglabājas, jo no gandrīz pusmiljarda vietņu aktīvi uzturētas ir tikai 216 miljoni, un daudzas lieto vecākas PHP versijas, kurām labojumus uzstādīt var būt grūti.