Агентство з кібербезпеки та інфраструктурної безпеки США (CISA) випустило термінове розпорядження для цивільних федеральних відомств. Урядовим установам наказано оновити системи та закрити дві критичні вразливості у мові програмування PHP протягом трьох днів через їхнє активне зловмисне використання хакерами.
Проблема стосується двох недоліків безпеки, відомих як PHP2Shell, які дозволяють зловмисникам віддалено зламувати вразливі системи через інтернет без використання паролів. Розробники мови випустили патчі менш ніж за тиждень до цього попередження. За оцінками, PHP використовується приблизно на 70% вебсерверів у світі, через що велика кількість сайтів та додатків опинилася під загрозою.
Ці вразливості залишалися невиявленими роками. Дві компанії раніше знаходили їх, але спочатку вважалося, що практичних шляхів для експлуатації не існує. Проте цього року дослідники з фірми Calif за допомогою штучного інтелекту змогли знайти спосіб використання цих прихованих недоліків. У CISA не уточнили, хто саме здійснює атаки, проте підтвердили наявність реальних випадків експлуатації.
Ситуація також привернула увагу до хронічного недофінансування та нестачі кадрів у проєктах з відкритим вихідним кодом. Виконавча директорка PHP Foundation Елізабет Баррон повідомила Reuters, що у фонді працює лише одна людина на повній ставці та близько 14 підрядників переважно на частковій зайнятості, які опікуються ядром мови та безпекою.
Окрім наявності самих багів, експерти вказують на загальну проблему застарілого програмного забезпечення. Значна частина серверів продовжує працювати на старіших версіях PHP, таких як PHP 7 чи навіть PHP 5, підтримка яких завершилася багато років тому. Це ускладнює своєчасне отримання оновлень безпеки та створює додаткові ризики для інфраструктури всього інтернету.
Джерела: techcrunch.com, tomshardware.com
