На этой неделе стало известно о серьёзной проблеме: в открытом языке программирования PHP нашли уязвимости, из-за которых владельцам сайтов пришлось срочно устанавливать обновления. Тем, кто не мог сделать это сразу, рекомендовали временно отключить ресурсы ради безопасности. Об этом сообщает TechCrunch.
В выпуске подкаста Equity издание обсудило, насколько значительным оказался этот инцидент и стоит ли ждать подобных ситуаций в будущем. Шон О’Кейн назвал случившееся «настоящим моментом расплаты»: по его словам, на самом глубинном уровне интернет держится «на клее и мечтах». Он также отметил, что с широким доступом к большим языковым моделям (LLM) и ИИ-агентам находить такие уязвимости станет проще, хотя конкретные бреши обнаружили люди, а не модели.
Кирстен Коросек задумалась о том, не ждёт ли всех «следующий уровень апокалиптических ожиданий»: она указала, что под угрозой могут оказаться банки, а вопросы данных и приватности выглядят масштабнее, чем кажется возможным исправить сейчас. По её мнению, многие владельцы сайтов даже не подозревают, что используют PHP — язык, лежащий в основе систем управления контентом вроде WordPress и Drupal и применяемый примерно на 70% сайтов, то есть на десятках миллионов ресурсов.
О’Кейн напомнил, что за последние десять лет не раз случалось, когда один человек, поддерживающий крошечный репозиторий ради интереса, замечал угрозу и спасал инфраструктуру интернета от краха. Теперь, по его словам, это может умножиться в миллиард раз: продвинутое программное обеспечение доступно всем, а ИИ-агентов можно нацелить на поиск уязвимостей. На этой неделе, отметил он, лаборатории и компании вроде Google и OpenAI привлекли людей к поиску брешей, включая проблему в PHP, а другие поспешили воспользоваться ими для взлома сайтов — из-за этого госресурсы и популярные сайты ненадолго отключались.
Энтони Ха отметил, что уязвимость в PHP существует десятилетиями и о ней не знали, а нашла её команда Wiz, принадлежащая Google, с помощью LLM. По его словам, патч приходится выпускать с публичным раскрытием проблемы, поскольку иначе её смогут найти другие, и это создаёт паническую ситуацию с требованием срочно обновляться. О’Кейн добавил, что многие недовольны тем, как раскрывали информацию, а глава Cloudflare Мэтью Принс сообщил о миллионах попыток взлома PHP2Shell. Коросек также указала, что Amazon заметила попытки эксплуатации уязвимости ещё до публичного объявления, и выразила беспокойство, что у множества сайтов, включая государственные, нет таких ресурсов для защиты.