Американское Агентство по кибербезопасности и защите инфраструктуры (CISA) предупредило об активной эксплуатации двух критических уязвимостей в PHP — широко распространённом программном обеспечении для веб-сайтов. Гражданским федеральным ведомствам США предписано устранить проблемы в своих системах в течение трёх дней. Об этом сообщила TechCrunch.
Разработчики PHP выпустили исправления менее недели назад. Обе уязвимости позволяют удалённо получить доступ к уязвимой системе через интернет без пароля. По имеющимся оценкам, PHP используется примерно на 70% серверов, доступных из сети, поэтому под угрозой оказались крупные сайты и приложения.
Из-за серьёзности проблемы некоторые правительства и большие компании временно отключали свои сайты, чтобы провести обновление. Специалисты по безопасности ранее считали создание рабочего инструмента для атаки сложной задачей, хотя и не исключали такую возможность. Подтверждение реальных атак усилило давление на организации, которым необходимо защитить системы от взломов, сбоев и утечек данных.
В понедельник CISA внесло обе уязвимости в каталог известных эксплуатируемых угроз, но не сообщило, кто именно использует их для атак. Незадолго до этого исследователи заявили, что обнаружили признаки эксплуатации проблем PHP в реальных условиях. Таким образом, предупреждение ведомства последовало после появления свидетельств активных атак.
Уязвимости получили название PHP2Shell и годами оставались незамеченными в программном обеспечении. Их обнаружили ещё два года назад, однако фонд, поддерживающий PHP, тогда счёл, что практического способа эксплуатации не существует, поэтому исправления не выпускались. Ситуация изменилась в начале этого года, когда исследователи компании Calif с помощью модели искусственного интеллекта нашли способ использовать обе скрытые уязвимости.
История PHP2Shell показала риск, связанный с многочисленными старыми уязвимостями, которые годами не находили или не считали приоритетными. Современные модели искусственного интеллекта способны обнаруживать такие проблемы и объединять несколько дефектов в одну цепочку атаки. При этом PHP относится к числу устаревающих веб-технологий, от которых по-прежнему зависит работа интернета и современных сервисов, хотя проекты с открытым исходным кодом годами испытывают нехватку ресурсов и финансирования для регулярных проверок безопасности.