Две критические уязвимости в PHP, языке программирования, на котором работает около 70% сайтов, вызвали на этой неделе глобальную гонку за патчи после того, как исследователи показали, что эти ошибки могут дать злоумышленникам контроль над серверами без пароля.
Уязвимости были найдены с помощью моделей OpenAI в сотрудничестве с компаниями по безопасности Wiz и Calif. Группа назвала набор ошибок PHP2Shell. Одна из уязвимостей просуществовала в языке 14 лет.
Что позволяет уязвимость
Злоумышленники могли захватывать затронутые веб-серверы без аутентификации и читать память, которая может содержать пароли и данные сессий. Поскольку PHP лежит в основе WordPress, Drupal и длинного списка кастомных сайтов, угроза затрагивает больницы, розничные сети и государственные порталы, а не только технологические компании.
Wiz сравнила серьёзность с Heartbleed — ошибкой шифрования 2014 года, которая раскрыла данные по большей части интернета. Исследователи заявили, что уязвимость достаточно сложна, чтобы находиться на грани возможностей человеческих аналитиков, и проста для ИИ-агента, способного самостоятельно выполнять шаги атаки.
Кто призвал организации действовать
Агентство национальной безопасности США и агентство по кибербезопасности Европейского союза рекомендовали немедленно установить патчи. Оба заявили, что системы, которые нельзя быстро обновить, следует отключить. Некоторые европейские государственные сайты так и сделали, и части их государственных услуг были недоступны в течение дня.
Технический директор Cloudflare Дейн Кнехт сказал, что компания видела ранние попытки атак до публикации патча. OpenAI выпустила инструмент, который администраторы могут запустить, чтобы проверить, уязвима ли установка.
Почему раскрытие было поспешным
На этой неделе детали утекли в интернет, вынудив сопровождающих PHP опубликовать предупреждение и обновление раньше запланированного. Это сократило разрыв между предупреждением и эксплуатацией — разрыв, на который защитники полагаются больше всего.
Эпизод имеет две стороны. ИИ нашёл ошибку, которую пропустили годы человеческой проверки, и та же способность может помочь злоумышленникам быстрее писать эксплойты. Перед командами безопасности теперь простой тест: патчить или отключать.