Американське агентство кібербезпеки та інфраструктури (CISA) підтвердило, що хакери активно експлуатують два серйозні вразливості в широко використовуваному PHP-веб-програмному забезпеченні, і наказало цивільним федеральним агентствам у США виправити системи протягом наступних трьох днів.
Це попередження про терміновий патч було опубліковано менш ніж тиждень тому, коли довгостроковий розробник PHP — мови веб-програмування — випустив виправлення для цих двох вразливостей. Ці вразливості дозволяють хакерам віддалено проникати в уразливі системи через інтернет без паролів. Згідно з повідомленнями, програмне забезпечення PHP використовується приблизно 70% веб-серверів, що ставить під загрозу велику кількість сайтів та додатків. Ступінь серйозності вразливостей спонукав деякі уряди та великі компанії вивести свої сайти з ладу для виправлення.
Хоча ці вразливості оцінені як «серйозні», що означає, що їх використання може призвести до серйозних наслідків, безпекові дослідники зазначили, що спочатку розробити працюючий варіант атаки було нелегко — але не неможливо. Зараз підтверджено наявність реальних атак, що збільшує тиск на різні установи щодо швидкого усунення вразливостей, щоб запобігти зловмисному втручанню, перервам у роботі служб та витокам даних.
CISA не надала деталей щодо того, хто використовує ці вразливості, у своєму заяві в понеділок, але незадовго до публікації цього заявлення дослідники безпеки повідомили, що виявили докази використання вразливостей PHP.
Ці експлойти, відомі як PHP2Shell, використовують дефекти в програмному забезпеченні, які не виявлялися протягом багатьох років. Вони були вперше виявлені два роки тому, але некомерційний фонд, відповідальний за підтримку цього програмного забезпечення, тоді заявив, що хакери не мають практично здійсненного способу використання цих експлойтів, тому вони не були виправлені. Лише на початку цього року дослідники з безпекової компанії Califf знайшли спосіб використання цих довготривалих уразливостей за допомогою моделі ШІ.
Ці дві вразливості в PHP — лише частина безлічі вразливостей, які ще не були виявлені або багато років залишалися низькопріоритетними; зі зростанням здатності моделей ШІ виявляти та експлуатувати вразливості, включаючи шляхом поєднання кількох дефектів, ці вразливості зараз також стають ризиком.
PHP — це одна з багатьох застарілих веб-технологій, які забезпечують роботу Інтернету та сучасних технологій, але протягом багатьох років отримували недостатньо ресурсів і фінансування, що робить складним для таких відкритих проектів, як PHP, фінансувати безпекові перевірки, які могли б виявити вразливості раніше.