Уязвимости PHP2Shell: ИИ помог сделать старые ошибки пригодными для атак
Спустя считаные часы после публикации уязвимостей в популярном языке PHP злоумышленники совершили миллионы попыток их эксплуатации. Исследователи отмечают, что ИИ ускоряет анализ ошибок, но это не принципиально новый процесс и он по-прежнему требует участия экспертов.
Киберпреступники начали пытаться использовать набор уязвимостей языка программирования PHP, получивший общее название PHP2Shell, в течение нескольких часов после их публикации на этой неделе. Анализ компании Cloudflare, работающей в сфере интернет-инфраструктуры, говорит о миллионах попыток. PHP работает на огромном числе сайтов, поэтому команды безопасности и администраторы поспешили установить исправления.
Страшный сценарий массового захвата серверов и утечек данных пока не реализовался. PHP Foundation, организация, поддерживающая язык, сообщила, что успешной эксплуатации не наблюдала, а многие публично распространяемые эксплойты, судя по всему, не работают.
Старые ошибки, новые инструменты
Первыми уязвимости обнаружили и создали рабочие эксплойты исследователи охранной компании Calif в начале августа. Они использовали передовые ИИ-инструменты в рамках программы OpenAI Patch the Planet, а также экспертные знания специалистов о PHP. Часть проблем была выявлена ещё в 2024 году, но тогда их сочли слишком сложными для эксплуатации. Позднее исследователи OpenAI и компании Wiz, принадлежащей Google, независимо друг от друга нашли уязвимости PHP2Shell с помощью ИИ.
Исследователь Wiz Саги Цадик говорит, что команда PHP знала об уязвимости годами, но не исправляла её, поскольку злоумышленник, по крайней мере человек, не мог ею воспользоваться.
Нагрузка на команды безопасности
ИИ ускоряет анализ и возможную эксплуатацию уязвимостей, что увеличивает нагрузку на ИТ-команды и разработчиков. В обновления безопасности Microsoft в этом месяце вошёл рекордный 1453 исправления, а Bank of America недавно нанял 1000 консультантов для устранения ошибок, найденных моделью Mythos компании Anthropic.
Исследователи подчёркивают, что ИИ лишь усиливает существующую динамику поиска уязвимостей, а не создаёт что-то новое. Джейк Уильямс, бывший хакер АНБ и вице-президент по исследованиям и разработкам Hunter Strategy, ожидает появления новых долгоживущих ошибок, но считает, что таких лёгких целей немного, ведь PHP особенно открыт для интернета. Райан Остин из Calif написал, что ни одна модель не способна найти все ошибки простыми запросами. Инженер по безопасности Нильс Провос говорит, что особо не беспокоится, поскольку для поиска этой уязвимости потребовалась высококвалифицированная команда.
