Kritiskās PHP ievainojamības mēģināts izmantot vairākas dienas pirms ielāpa izdošanas
Amazon drošības komanda konstatēja uzbrukuma mēģinājumus divām kritiskām PHP programmēšanas valodas ievainojamībām jau pirms labojuma publicēšanas. PHP Foundation apgalvo, ka veiksmīga attālināta koda izpilde nav zināma, un aicina steidzami atjaunināt sistēmas.
Amazon Threat Intelligence, uzņēmuma Amazon kiberdrošības izlūkdatu vienība, ziņo, ka hakeri mēģinājuši izmantot divas kritiskas ievainojamības PHP — plaši lietotā tīmekļa programmēšanas valodā — jau dažas dienas pirms ielāpa izdošanas. Par to raksta tehnoloģiju vietne The Verge. Ievainojamības skar vietnes visā internetā, tostarp tās, kas darbojas ar WordPress satura pārvaldības sistēmu.
Trešdien vietnes steidzami ieviesa labojumu ievainojamībām ar apzīmējumiem CVE-2026-109618 un CVE-2026-109619. Tās varētu ļaut uzbrucējiem attālināti izpildīt ļaunprātīgu kodu neaizsargātās ierīcēs.
Ko konstatēja Amazon
Amazon galvenais informācijas drošības vadītājs CJ Moses raksta, ka uzņēmuma drošības komanda 17. oktobrī ar slazdu sistēmu, kas paredzēta hakeru piemānīšanai, atklāja PHP2Shell izmantošanas mēģinājumu. Vēl vairākus mēģinājumus fiksēja 21. oktobrī, dažas stundas pirms ielāpa publicēšanas.
Moses norāda, ka uzbrukums slazdam nācis no anonimizētas IP adreses, kas liecina par uzbrucēja darbību. Joprojām nav skaidrs, kā uzbrucējs ieguva informāciju par ievainojamību laikā, kad tā vēl bija zem ziņošanas aizlieguma.
PHP Foundation skaidrojums
PHP Foundation, organizācija, kas atbalsta PHP attīstību, problēmu teorētiski aprakstīja jau 2024. gadā. Tās drošības komanda izstrādāja iespējamos risinājumus, taču labojums tika aizkavēts, jo tas varēja izjaukt atpakaļsaderību, radīt jaunus pakalpojumatteices uzbrukumu riskus vai prasīt izmaiņas daudzos trešo pušu paplašinājumos, ko šķita neiespējami saskaņot.
Labojumam tuvojoties izdošanai, informācija par kļūdām sāka parādīties forumos un sociālajos tīklos, un daži drošības uzņēmumi to publicēja pirms oficiālā izlaiduma.
PHP Foundation izpilddirektore Elizabeth Barron The Verge teica, ka, cik zināms, veiksmīgu attālinātas koda izpildes mēģinājumu nav bijis, taču atjaunināšana ir obligāta. Organizācija arī paziņoja mainīšot procesus, lai līdzīgi sarežģītas ievainojamības ātrāk nonāktu līdz vadībai un tiktu risinātas operatīvāk.
