Фонд PHP признал «структурный сбой»: исправление критической уязвимости, впервые замеченной в 2024 году, задержалось из-за нерешительности и нехватки ресурсов. Две связанные критические уязвимости позволяли неаутентифицированным злоумышленникам выполнять код на затронутых серверах – экстренные патчи вышли в среду.
«Мы не будем притворяться иначе: задержка была структурным сбоем, вызванным как процессом принятия решений команды безопасности, так и нехваткой ресурсов», – говорится в блоге фонда. Разработчики не могли быстро предложить решение, не нарушив огромную экосистему ПО на PHP; небольшой команде с глубоким знанием движка не хватало рук, а известного пути к удаленному выполнению кода не было.
Фонду вновь указали на уязвимость 11 августа: Calif и OpenAI независимо сообщили об одной и той же проблеме, а Calif продемонстрировала безусловное удаленное выполнение кода. Это вывело вопрос в число приоритетных.
В среду правительственные сайты и сервисы по всему миру уходили офлайн на время установки патчей. Нидерланды отключили сервис цифровой идентификации и сайт национального центра кибербезопасности, финский Valtori – публичные государственные веб-сервисы, МВД Франции – сайты префектур, немецкий ITZBund – несколько сайтов, по данным Reuters. Австралийское управление сигналов (ASD) подтвердило, что его сайт cyber gov au затронут. Премьер-министр Японии Санаэ Такаити призвала операторов как можно быстрее установить патч и отметила, что временное отключение функций снижает риск.
Фонд Викимедиа временно отключил Toolforge и Cloud VPS – хостинг инструментов и проектов волонтеров, из-за чего в среду частично была недоступна Википедия. Cardano-организация Intersect отключила Members Area, пока оценивала риски.
Компания по безопасности блокчейна SlowMist обследовала 1 488 доменов и нашла 793 с прямыми следами PHP; она призвала биржи, DeFi-платформы и провайдеров кошельков проверить свою подверженность и обновиться.
Глава службы безопасности Coinbase Джефф Лунглофер заявил, что уязвимых экземпляров PHP в компании не нашли, и добавил, что при подобных сообщениях компания проводит полное обследование и работает со сторонними поставщиками. BitGo также сообщила, что платформа не затронута. Соучредитель Binance Чанпэн Чжао призвал к «особой осторожности» при посещении сайтов в ближайшие дни. OpenAI выпустила на GitHub инструмент Codex, помогающий операторам проверять уязвимые версии PHP.
Команда безопасности PHP сообщила, что на момент публичного раскрытия функциональных эксплойтов не выявлено.
Материал подготовлен исключительно в ознакомительно-информационных целях и не является финансовым советом и рекомендацией.
Похожие статьи
