Две серьезные уязвимости в языке программирования PHP вынудили правительства и корпорации временно выводить сайты из сети на случай возможных атак. Эти недостатки были оценены на 9,2 по международной шкале серьезности и позволяют злоумышленникам удаленно выполнять команды на открытых серверах без необходимости в учетных данных или паролях.
Разработчики PHP внедрили обновления для устранения этих проблем в четверг, 21-го числа. Специалисты по безопасности советуют немедленно применять исправления; в противном случае уязвимые системы следует изолировать от интернета до установления защиты.
Одна из уязвимостей привлекла внимание тем, что она была обнаружена изначально в 2024 году. По данным Фонда PHP, прошедшее время до исправления указывает на структурный недостаток в процессе. Публикация обновлений также усилила беспокойство экспертов из-за риска того, что злоумышленники изучат патчи, чтобы найти методы эксплуатации в системах, которые еще не были обновлены.
Разработчики PHP выпустили четыре отдельных обновления для устранения двух критических уязвимостей. Фонд PHP подчеркнул острую необходимость для пользователей обновлять свои системы. Фонд признал, что одна из уязвимостей была указана исследователем в 2024 году, классифицируя задержку в исправлении как структурную проблему.
Агентство национальной безопасности США (NSA) выпустило предупреждение о том, что уязвимости такого масштаба могут облегчить доступ к файлам и базам данных серверов. Если немедленное применение обновления невозможно, рекомендуется удалить затронутые системы из сети.
Со своей стороны, Агентство по кибербезопасности и инфраструктуре США (CISA) рекомендовало немедленно обновить все установки PHP. На момент публикации материала Reuters агентство не фиксировало эксплуатации этих уязвимостей, хотя и предупреждало об опасностях сохранения систем незащищенными.
По словам Дона Смита, вице-президента по разведке угроз Sophos Counter Threat Unit (CTU), первым препятствием для организаций является определение того, где используется PHP. Он заявил: «Непосредственная задача состоит не только в установке исправления, но и в выявлении и управлении всеми экземплярами, в которых выполняется PHP».
Эксперт отметил, что язык может присутствовать во многих местах, таких как общедоступные веб-сайты, системы управления контентом, хостинг-платформы и сторонние продукты, и что в некоторых случаях это присутствие может быть неочевидным для самой организации, ответственной за инфраструктуру.
Смит предложил командам безопасности расставить приоритеты для нескольких действий. Руководитель также предупредил о скорости, с которой могут действовать злоумышленники, включая использование искусственного интеллекта (ИИ). По его анализу, эти уязвимости могут стать основными целями в часы и дни после публикации исправлений.
Таким образом, Смит посоветовал организациям не ограничиваться только установкой обновлений, но и проверять, не получил ли какой-либо злоумышленник уже доступ к среде до применения исправлений.
Исследователи из компании Calif Security в партнерстве с OpenAI сообщили об одной из уязвимостей разработчикам PHP 11 августа после ее выявления с помощью модели GPT-5.6 Sol. Wiz, еще одна охранная компания, связанная с Alphabet (владельцем Google), независимо обнаружила проблемы и сообщила о второй уязвимости 24 августа, также используя модели ИИ.
Это открытие продемонстрировало, как инструменты ИИ могут помогать исследователям в поиске ошибок в широко используемом программном обеспечении. Однако возможность анализа исправлений злоумышленниками усиливает срочность поддержания актуальности затронутых систем и мониторинга любой подозрительной активности.