Агентство по кибербезопасности и защите инфраструктуры США (CISA) подтвердило, что злоумышленники уже активно используют две критические уязвимости в популярном веб-программном обеспечении PHP. Гражданским федеральным ведомствам страны предписано устранить проблемы в своих системах в течение трёх дней. Об этом сообщает TechCrunch.
Срочное предупреждение появилось менее чем через неделю после того, как разработчики PHP выпустили исправления для обеих уязвимостей. Эти ошибки позволяют хакерам удалённо проникать в систему через интернет без пароля. По данным издания, PHP используется примерно на 70% серверов, доступных в интернете, из-за чего под угрозой оказались крупные сайты и приложения. Из-за серьёзности проблем некоторые государства и крупные компании временно отключали свои ресурсы, чтобы провести обновление.
Уязвимости классифицированы как критические: при их использовании возможен серьёзный ущерб. Специалисты по безопасности отмечали, что создать рабочий эксплойт (программу для использования уязвимости) поначалу было непросто, но вполне реально. Подтверждение атак в реальных условиях усиливает давление на организации, которым необходимо срочно обновить системы, чтобы избежать взломов, сбоев и утечек данных.
В заявлении от понедельника CISA не раскрыло, кто именно использует уязвимости. Предупреждение было опубликовано вскоре после того, как исследователи сообщили об обнаружении свидетельств эксплуатации ошибок PHP. Уязвимости получили название PHP2Shell.
Эти ошибки оставались незамеченными много лет. Их выявили два года назад, однако некоммерческий фонд, поддерживающий PHP, заявил, что практического способа атаковать систему нет, поэтому исправления не выпускались. Ситуация изменилась в этом году, когда специалисты компании Calif нашли способ использовать обе уязвимости с помощью модели искусственного интеллекта.
Случай с PHP показывает более широкую проблему: множество уязвимостей годами остаются необнаруженными или отложенными, но теперь становятся опасными из-за роста возможностей ИИ-моделей находить и комбинировать flaws (дефекты) в коде. При этом PHP относится к стареющим веб-технологиям, которые обеспечивают работу интернета, но долгие годы испытывают нехватку ресурсов и финансирования. Из-за этого открытым проектам вроде PHP сложно оплачивать проверки безопасности, которые могли бы выявить проблемы раньше.