Фондацията PHP призна, че проблеми при вземането на решения и ограничените ресурси са забавили поправка за сигурността на PHP за уязвимост, открита за първи път през 2024 г. В сряда, след като бяха публикувани спешни корекции за две свързани критични уязвимости, правителствени агенции и други организации изведоха уебсайтове офлайн като предпазна мярка.

Основни изводи

  • Фондацията определи забавената реакция като структурен провал, свързан с процеса по сигурността и ресурсите ѝ.
  • Уязвимостите биха могли да позволят на неавтентикирани нападатели да изпълняват код на засегнатите сървъри.
  • Криптоорганизации провериха изложеността си, а Coinbase и BitGo съобщиха, че нямат засегнати системи.

Съдържание

Поправката за сигурността на PHP се забави заради проблеми със съвместимостта и недостиг на персонал

Разказът на фондацията насочва вниманието към това как известен технически проблем е останал нерешен в продължение на месеци. През 2024 г. разработчиците установили признаци за уязвимостта, но трудно намирали решение, което да не наруши обширната софтуерна екосистема, изградена върху PHP — език, широко използван за уебсайтове и уеб приложения.

На този етап разработчиците все още не били установили начин за дистанционно изпълнение на код. Малката група специалисти с необходимите познания за енджина на PHP имала и други конкуриращи се отговорности, поради което работата по поправката многократно спирала и подновявала, съобщи фондацията.

Тя определи забавянето като „структурен провал“, причинен както от процеса на вземане на решения в екипа по сигурността, така и от недостатъчните ресурси.

Проблемът се превърнал във водещ приоритет за сигурността, след като компанията за киберсигурност Calif и OpenAI независимо съобщили за един и същ първопричинен проблем на 11 август. Calif демонстрирала безусловно дистанционно изпълнение на код.

Предпазното спиране обхвана публични услуги

Спешните актуализации предизвикали прекъсвания в няколко държави, докато операторите изключвали услуги в подготовка за инсталиране на обновленията. Нидерландия спряла услугата си за цифрова идентичност, а Националният център за киберсигурност изключил собствения си уебсайт.

Държавният ИТ доставчик на Финландия Valtori изключил публичните уебуслуги на правителството, а френското Министерство на вътрешните работи временно премахнало от мрежата уебсайтовете на префектурите. Германският федерален ИТ доставчик ITZBund също деактивирал няколко уебсайта.

Австралийската Дирекция за сигнали съобщи, че cyber.gov.au е сред правителствените уебсайтове, засегнати от проблема с PHP. Японският премиер Санае Такаичи призова операторите да се подготвят за бързо инсталиране на поправките и заяви, че временното спиране на функциите на уебсайтовете може да намали риска, когато незабавното им обновяване не е възможно.

Фондацията Wikimedia също изключи офлайн поддържащи услуги, включително Toolforge и Cloud VPS, което засегна някои функции на Wikipedia в сряда.

Криптокомпании оценяват потенциалната изложеност

Компанията за блокчейн сигурност SlowMist съобщи, че услугата ѝ MistEye е открила директни PHP отпечатъци в 793 от 1 488 домейна от криптоиндустрията, които е проверила. Тя призова борсите, DeFi платформите и доставчиците на портфейли да прегледат изложеността си и да надстроят системите си. Резултатите установяват използване на PHP, но не потвърждават, че тези домейни са уязвими.

Intersect — членска организация, която подкрепя развитието и управлението на Cardano — временно затвори зоната за членове, докато оценяваше потенциалната изложеност.

Главният директор по сигурността на Coinbase Джеф Лунгхофер заяви, че компанията не е открила доказателства за изложени на риск PHP инстанции и проверява и доставчиците си от трети страни. Отделно BitGo заяви, че платформата ѝ не е засегната.

Статутът на експлойтите остава различен от демонстрирания риск

Въпреки демонстрирания риск от дистанционно изпълнение на код, екипът по сигурността на PHP заяви, че към момента на публичното оповестяване не е установил работещи експлойти.

OpenAI пусна през GitHub умение за Codex, което да помага на операторите да проверяват за потенциално уязвими версии на PHP и да установяват кои актуализации са приложими.

Заключение

Спешните корекции отстраняват непосредствените уязвимости, а признанието на фондацията подчертава провалите в процеса, довели до забавянето им. Съобщените спирания са били предпазни мерки, а не доказателство, че засегнатите организации са били компрометирани.

Още новини

Още новини от FinanceVelix

Отказ от отговорност

Тази статия на FinanceVelix предоставя обща информация, а не персонализиран финансов, инвестиционен, правен или данъчен съвет. Пазарните цени, лихвените проценти и икономическите условия могат да се променят; инвестициите носят риск от загуба. Фактите отразяват наличната към момента на публикуване информация и могат да се променят. Проверявайте самостоятелно важната информация и при необходимост се консултирайте с квалифициран специалист. Споменаването на актив, компания или услуга не представлява препоръка.