Фонд PHP визнав, що проблеми з ухваленням рішень і обмежені ресурси затримали виправлення безпеки PHP для вразливості, уперше виявленої у 2024 році. У середу, після випуску екстрених виправлень для двох пов’язаних критичних вразливостей, державні установи та інші організації превентивно перевели вебсайти в офлайн.

Ключові висновки

  • Фонд назвав затримку структурним збоєм, пов’язаним із процесом забезпечення безпеки та ресурсами.
  • Вразливості могли дозволити неавтентифікованим зловмисникам виконувати код на вразливих серверах.
  • Криптоорганізації перевіряли потенційний вплив, тоді як Coinbase і BitGo повідомили, що їхні системи не постраждали.

Зміст

Виправлення безпеки PHP затрималося через проблеми сумісності та нестачу фахівців

У звіті фонду увагу зосереджено на тому, як відома технічна проблема залишалася невирішеною протягом кількох місяців. Розробники виявили ознаки вразливості у 2024 році, але їм було важко знайти спосіб її усунути, не порушивши роботу великої програмної екосистеми, побудованої на PHP — мові, яку широко використовують для вебсайтів і вебзастосунків.

На той момент розробники ще не встановили можливість віддаленого виконання коду. За словами фонду, невелика група фахівців із необхідними знаннями про рушій PHP мала й інші обов’язки, через що робота над виправленням неодноразово зупинялася і поновлювалася.

Фонд назвав затримку «структурним збоєм», спричиненим як процесом ухвалення рішень командою безпеки, так і недостатністю ресурсів.

Проблема стала пріоритетною для безпеки після того, як компанія з кібербезпеки Calif і OpenAI незалежно повідомили про ту саму першопричину 11 серпня. Calif продемонструвала можливість безумовного віддаленого виконання коду.

Превентивне вимкнення поширилося на державні онлайн-сервіси

Після випуску екстрених оновлень у кількох країнах виникли перебої: оператори відключали сервіси, готуючись установити оновлення. Нідерланди вимкнули свій сервіс цифрової ідентифікації, а Національний центр кібербезпеки країни перевів в офлайн і власний вебсайт.

Державний ІТ-провайдер Фінляндії Valtori відключив державні вебсервіси загального доступу, тоді як Міністерство внутрішніх справ Франції тимчасово припинило роботу вебсайтів префектур. Федеральний ІТ-провайдер Німеччини ITZBund також вимкнув кілька вебсайтів.

Управління сигналів Австралії повідомило, що серед державних вебсайтів, яких торкнулася проблема PHP, був cyber.gov.au. Прем’єр-міністерка Японії Санае Такаїті закликала операторів бути готовими швидко встановити виправлення та заявила, що тимчасове призупинення роботи функцій вебсайтів може знизити ризик, якщо негайне оновлення неможливе.

Фонд Wikimedia також перевів в офлайн допоміжні сервіси, зокрема Toolforge і Cloud VPS, що вплинуло на деякі функції Вікіпедії в середу.

Криптокомпанії оцінюють потенційний вплив

Компанія з безпеки блокчейну SlowMist повідомила, що її сервіс MistEye виявив прямі ознаки використання PHP у 793 із 1 488 доменів криптоіндустрії, які він перевірив. Вона закликала біржі, платформи DeFi та постачальників гаманців оцінити потенційний вплив і оновити програмне забезпечення. Результати вказували на використання PHP, але не підтверджували вразливість цих доменів.

Intersect, членська організація, що підтримує розвиток Cardano та управління ним, тимчасово закрила зону для учасників, оцінюючи потенційний вплив.

Директор із безпеки Coinbase Джефф Лунггофер заявив, що компанія не виявила ознак наявності вразливих екземплярів PHP, і додав, що вона також перевіряє сторонніх постачальників. BitGo окремо повідомила, що її платформа не постраждала.

Статус експлойтів слід відрізняти від продемонстрованого ризику

Попри продемонстрований ризик віддаленого виконання коду, команда безпеки PHP заявила, що на момент публічного розкриття не виявила працездатних експлойтів.

OpenAI випустила через GitHub інструмент Codex skill, який допомагає операторам перевіряти наявність потенційно вразливих версій PHP і визначати відповідні оновлення.

Висновок

Екстрені виправлення усувають безпосередні вразливості, тоді як визнання фонду вказує на недоліки процесу, що затримали їх випуск. За повідомленнями, вимкнення сайтів були превентивними заходами, а не доказом того, що постраждалі організації зазнали злому.

Читайте також

Більше новин FinanceVelix

Застереження

Ця стаття FinanceVelix містить загальну інформацію, а не персоналізовані фінансові, інвестиційні, юридичні чи податкові поради. Ринкові ціни, процентні ставки та економічні умови можуть змінюватися; інвестиції пов’язані з ризиком збитків. Факти відповідають матеріалам, доступним на момент публікації, і можуть змінитися. Самостійно перевіряйте важливу інформацію та за потреби звертайтеся до кваліфікованого фахівця. Згадка активу, компанії чи сервісу не є рекомендацією.»