Хакеры начали эксплуатировать уязвимости PHP за несколько дней до выхода исправлений

Две критические уязвимости в PHP, широко используемом языке веб-сценариев, эксплуатировались ещё до публикации исправлений в среду. Об этом говорится в исследовании Amazon Web Services (AWS), облачного подразделения Amazon, опубликованном в среду вечером. Уязвимости известны под общим названием PHP2Shell, и новые данные показывают, что спешное обновление сайтов в ряде случаев запоздало.

Ранняя попытка

Аналитики AWS изучили журналы своих «ханипотов» — намеренно уязвимых серверов, которые помогают исследовать методы атак, — и обнаружили попытку эксплуатации от 17 октября. Она пришла с IP-адреса, связанного с коммерческой сетью анонимизации, то есть прокси-сетью или VPN.

Си Джей Мозес, директор AWS по информационной безопасности, написал, что обращение к ханипоту с анонимного адреса, пока уязвимость была под эмбарго, указывает на действия злоумышленника. Как он получил информацию об эксплойте до раскрытия, остаётся неясным.

События среды

После выхода исправлений администраторы и специалисты по безопасности спешили найти и обновить уязвимые сайты и приложения, а атакующие изучали патчи, чтобы понять, как использовать уязвимости. Некоторые правительства и организации заранее отключили важные сайты, чтобы их не атаковали до установки обновлений.

Демонстрационные эксплойты стали появляться публично в среду, некоторые — за несколько часов до раскрытия в 10:00 по восточному времени США. Перед этим ханипоты AWS подверглись многочисленным попыткам атак через разных провайдеров анонимизации, по-видимому, с разными целями, что, вероятно, указывает на нескольких злоумышленников. Мозес заявил, что технический анализ продолжается и неясно, сработали бы эти попытки в реальных системах, но PHP2Shell сейчас широко эксплуатируется.

Роль ИИ

В AWS считают, что координированное раскрытие уязвимостей должно меняться и ускоряться, поскольку инструменты ИИ ускоряют анализ уязвимостей и позволяют менее опытным злоумышленникам быстро создавать эксплойты. По словам Мозеса, раньше атаки обычно следовали за публичным доказательством концепции, а теперь больше участников могут действовать в течение нескольких часов или даже минут после раскрытия технических деталей.

Фонд PHP не сразу ответил на запрос WIRED о комментарии.