Divas kritiskas PHP ievainojamības gandrīz izraisīja interneta mēroga haosu
Ievainojamības PHP2Shell ļāva bez paroles iekļūt serveros, kuros darbojas programmēšanas valoda PHP. Lielākā daļa masveida uzbrukumu līdz šim izdevies novērst, taču daudzas sistēmas joprojām nav atjauninātas.
Trešdien, 21. oktobrī, pasaules mērogā daudzi uzņēmumi un iestādes steidzami atjaunināja sistēmas pēc tam, kad tika atklātas divas kritiskas drošības ievainojamības atvērtā koda tīmekļa tehnoloģijā PHP. Šī programmēšanas valoda tiek plaši izmantota mājaslapu un tīmekļa lietotņu izveidei, un aptuveni 70 % no internetā pieejamajām sistēmām balstās uz to. Ievainojamības iegūušas nosaukumu PHP2Shell, un tās reģistrētas ar apzīmējumiem CVE-2026-109618 un CVE-2026-109619.
Ko šīs kļūdas ļauj
Kļūdas ļauj uzbrucējam no jebkuras pasaules vietas attālināti iekļūt neatjauninātā sistēmā, neievadot paroli un neprasot upurim nospiest saiti vai atvērt failu. Šādu risku sauc par attālinātu koda izpildi. Uzbrucējs var uzstādīt ļaunprātīgu programmatūru, nozagt datus vai nostiprināties sistēmā ilgstošai piekļuvei.
Kā tas notika
Kļūdas 2024. gadā pamanīja drošības pētnieku komanda Calif, taču toreiz tās netika uzskatītas par izmantojamām, un labojumi netika izstrādāti. Vēlāk pētnieki atrada veidu, kā tās izmantot, un brīdināja PHP uzturētāju organizāciju PHP Foundation. Tā labojumus līdz noteiktam termiņam turēja konfidenciāli, lai lielākie uzņēmumi un tīmekļa mitinātāji tos paspētu uzstādīt iepriekš. Publiskie labojumi tika izlaisti trešdien.
Banki, veikali, spēļu vietnes, slimnīcas un dažas valsts iestādes uz laiku izslēdza savas vietnes vai pakalpojumus, lai veiktu atjauninājumus. Valdības mudināja iedzīvotājus un uzņēmumus rīkoties.
Uzbrukumi pirms atklāšanas
Amazon ziņoja, ka izmantošanu novērojis aptuveni nedēļu pirms labojumu publicēšanas, norādot uz 17. oktobri. Kā uzbrucējs uzzināja par kļūdām, nav skaidrs. PHP Foundation vainoja kādu uzņēmumu, kas labojumus publiskoja dažas stundas pirms noteiktā termiņa, taču tas nepaskaidro nedēļu ilgo aktivitāti. Piektdienas vakarā Palo Alto Networks un Trail of Bits apstiprināja kompromitēšanas gadījumus. Cloudflare vadītājs Metjū Prinss (Matthew Prince) norādīja uz strauju mēģinājumu skaita pieaugumu pēc atklāšanas.
Kas gaidāms
PHP izmanto arī maršrutētājos, datu glabātuvēs, ugunsmūros un VPN ierīcēs, tāpēc atjaunināšana var ievilkties, īpaši mazākos uzņēmumos un vecās sistēmās. Calif norādīja, ka mākslīgais intelekts palīdzēja izmantot kļūdas, taču galvenais balstījās uz pētnieku zināšanām.
