Критические уязвимости PHP заставляют владельцев сайтов срочно обновляться или отключать ресурсы

На этой неделе было объявлено срочное предупреждение: в PHP, языке программирования с открытым кодом, обнаружены уязвимости, и владельцам сайтов необходимо немедленно их закрыть. Тем, кто не может обновиться сразу, советуют отключить сайт. Ситуацию обсудили в подкасте Equity издания TechCrunch журналисты Кирстен Корозек, Шон О'Кейн и Энтони Ха.

Что обнаружено

PHP широко используется для создания сайтов, на нём работают системы управления контентом, включая WordPress и Drupal. По словам Корозек, это около 70% сайтов, то есть десятки миллионов. Уязвимость, как сообщается, существовала в PHP десятилетиями, но оставалась незамеченной.

Первоначально считалось, что их нашли модели ИИ, но позднее это уточнили: уязвимости обнаружили исследователи-люди, участвовавшие в инициативе Hack the Planet, которую проводят OpenAI и Wiz (компания, ныне принадлежащая Google). ИИ они использовали для эксплуатации ошибки.

Последствия

О'Кейн отметил, что часть людей поспешила использовать уязвимости для взлома сайтов. Правительства отключали сайты, а популярные ресурсы ненадолго уходили в офлайн ради исправлений. По его словам, некоторые участники опередили срок эмбарго на раскрытие информации, что запустило гонку среди хакеров. Глава Cloudflare Мэтью Принс сообщил о миллионах попыток атак с использованием PHP2Shell. Amazon через сеть-ловушку (honeypot) зафиксировала попытки эксплуатации ещё до публичного объявления.

Опасения

Корозек подчеркнула, что у многих небольших и государственных сайтов нет такого внимания, как у Amazon, и предупредила о «гниении ссылок», если владельцы будут отключать сайты вместо обновления. Участники считают, что это лишь начало нового этапа в кибербезопасности, и задаются вопросом, появятся ли новые стартапы или open source-инструменты защиты.