Фонд PHP признал, что проблемы с принятием решений и ограниченные ресурсы задержали устранение уязвимости PHP, впервые обнаруженной в 2024 году. После выпуска в среду экстренных исправлений для двух связанных критических уязвимостей государственные ведомства и другие организации в качестве меры предосторожности отключили сайты.

Ключевые выводы

  • Фонд назвал задержку структурным сбоем, связанным с процессом обеспечения безопасности и ресурсами.
  • Уязвимости могли позволить не прошедшим аутентификацию злоумышленникам выполнять код на затронутых серверах.
  • Криптовалютные организации оценили свою подверженность риску; Coinbase и BitGo сообщили, что их системы не были затронуты.

Содержание

Устранение уязвимости PHP затормозилось из-за проблем совместимости и нехватки кадров

Из сообщения фонда следует, что основная проблема заключалась в том, что известная техническая уязвимость оставалась нерешенной в течение нескольких месяцев. Разработчики обнаружили признаки уязвимости в 2024 году, но не могли найти способ устранить ее, не нарушив работу обширной программной экосистемы, созданной на базе PHP — языка, широко используемого для сайтов и веб-приложений.

На тот момент разработчики еще не нашли способ добиться удаленного выполнения кода. Небольшая группа специалистов, обладавших необходимыми знаниями о движке PHP, была также занята другими задачами, поэтому работа над исправлением неоднократно останавливалась и возобновлялась, сообщил фонд.

Фонд назвал задержку «структурным сбоем», вызванным как порядком принятия решений в команде безопасности, так и нехваткой ресурсов.

После того как компании в сфере кибербезопасности Calif и OpenAI независимо друг от друга сообщили об одной и той же первопричине 11 августа, проблема стала приоритетной для обеспечения безопасности. Calif продемонстрировала возможность безусловного удаленного выполнения кода.

Превентивные отключения затронули государственные службы

После экстренного выпуска исправлений в нескольких странах возникли перебои: операторы отключали сервисы, готовясь установить обновления. Нидерланды отключили службу цифровой идентификации, а Национальный центр кибербезопасности страны вывел из сети собственный сайт.

Государственный ИТ-провайдер Финляндии Valtori отключил общедоступные государственные веб-сервисы, а МВД Франции временно вывело из эксплуатации сайты префектур. Федеральный ИТ-провайдер Германии ITZBund также отключил несколько сайтов.

Директорат сигналов Австралии сообщил, что среди государственных сайтов, затронутых проблемой PHP, был cyber.gov.au. Премьер-министр Японии Санаэ Такаити призвала операторов подготовиться к скорой установке исправлений и заявила, что временное приостановление функций сайтов может снизить риски, если немедленное обновление невозможно.

Фонд Wikimedia также отключил вспомогательные сервисы, включая Toolforge и Cloud VPS, что в среду повлияло на работу некоторых функций Wikipedia.

Криптокомпании оценивают потенциальную подверженность риску

Компания SlowMist, специализирующаяся на безопасности блокчейнов, сообщила, что ее сервис MistEye обнаружил прямые признаки использования PHP у 793 из 1 488 доменов криптоиндустрии, прошедших проверку. Компания призвала биржи, DeFi-платформы и поставщиков кошельков оценить свою подверженность риску и установить обновления. Результаты указывают на использование PHP, но не подтверждают уязвимость этих доменов.

Intersect — членская организация, поддерживающая развитие и управление Cardano, — временно закрыла раздел для членов, оценивая потенциальную подверженность риску.

Директор по информационной безопасности Coinbase Джефф Лунгхофер заявил, что компания не обнаружила признаков наличия уязвимых экземпляров PHP и также проверяет сторонних поставщиков. BitGo отдельно сообщила, что ее платформа не затронута.

Статус эксплойтов и продемонстрированный риск — не одно и то же

Несмотря на продемонстрированный риск удаленного выполнения кода, команда безопасности PHP заявила, что на момент публичного раскрытия информации не выявила ни одного работающего эксплойта.

OpenAI выпустила через GitHub инструмент Codex, который помогает операторам проверять, используются ли потенциально уязвимые версии PHP, и находить подходящие обновления.

Заключение

Экстренные исправления устраняют непосредственные уязвимости, а признание фонда указывает на сбои в процессе, из-за которых исправления задержались. Сообщавшиеся отключения были превентивными мерами, а не свидетельством того, что затронутые организации подверглись взлому.

Читайте также

Другие новости FinanceVelix

Отказ от ответственности

Эта статья FinanceVelix содержит общую информацию и не является персональной финансовой, инвестиционной, юридической или налоговой консультацией. Рыночные цены, процентные ставки и экономические условия могут меняться; инвестиции сопряжены с риском убытков. Факты основаны на материалах, доступных на момент публикации, и могут измениться. Самостоятельно проверяйте важную информацию и при необходимости консультируйтесь с квалифицированным специалистом. Упоминание актива, компании или услуги не является рекомендацией.