Две критични уязвимости в PHP – една от най-разпространените технологии за разработка на уеб приложения – предизвикаха международна реакция и принудиха държавни институции и организации да ограничат достъпа до свои интернет услуги, докато прилагат мерки за защита. Ситуацията постави под натиск екипите по информационна сигурност, които трябва бързо да установят къде се използва уязвимият софтуер и да ограничат възможностите за отдалечено проникване.
Според информация на BBC британското правителство е направило недостъпни 32 свои услуги, а други четири са били частично засегнати. Властите обясняват действията с предпазни мерки и работата по прилагане на актуализации, като уточняват, че това само по себе си не означава, че системите са били компрометирани. Ръководителят на технологичното направление в британския Национален център за киберсигурност определя мащаба на ситуацията като безпрецедентен.
Проблемът не се ограничава до Великобритания. По данни на BBC различни организации и държавни структури в Европа също са предприели временни ограничения. Сред засегнатите са били публични уеб услуги във Финландия и Нидерландия, както и отделни интернет ресурси на други организации. Френският телекомуникационен оператор Orange също е съобщил за временно ограничаване на достъпа до определени услуги, докато прилага корекции по сигурността.
PHP се използва за обработка на заявки, работа с бази данни и генериране на динамично съдържание на уебсайтове. Технологията стои зад множество системи за управление на съдържанието, онлайн магазини и уеб приложения, включително платформи като WordPress, Drupal, Joomla и Magento. Според оценка на компанията Wiz PHP захранва приблизително 70% от уебсайтовете в интернет, макар BBC да отбелязва, че не може независимо да потвърди този дял.
Сериозността на откритите дефекти произтича от възможността при определени условия да бъдат използвани за отдалечено изпълнение на код без предварително удостоверяване. Подобен сценарий може да даде на атакуващия възможност да изпълнява злонамерени команди на уязвим сървър и потенциално да достигне до приложения, данни или други ресурси в същата инфраструктура.
Допълнителен тревожен фактор е, че уязвимостите са открити с помощта на инструменти за изкуствен интелект. Изследователите са работили с усъвършенствани модели за анализ на кода и разработване на експлойти. Случаят показва, че ИИ може да ускори откриването на дългогодишни дефекти, но същевременно поставя въпроса колко бързо подобни открития могат да бъдат използвани и от нападатели.
Според публикацията на BBC подробности за уязвимостите са изтекли в социалните мрежи преди планираното официално оповестяване, което е ускорило публикуването на предупрежденията и защитните актуализации. Инфраструктурни доставчици съобщават за рязко увеличение на опитите за експлоатация след публичното разпространение на информацията. Cloudflare е регистрирала бърз скок от хиляди към стотици хиляди и впоследствие милиони опити в рамките на наблюдавания период. Компанията Amazon също е съобщила за опити за атаки, като е посочила, че нейните уебсайтове продължават да работят нормално.
Британският Национален център за киберсигурност препоръчва организациите незабавно да установят всички системи, които използват PHP, с приоритет върху достъпните от интернет сървъри. Следва да се приложат наличните корекции, да се следят официалните предупреждения и да се наблюдава за признаци на злонамерена активност. Когато своевременното отстраняване на проблема не е възможно, препоръката е засегнатата система да бъде временно изведена от експлоатация, докато рискът бъде овладян.
За бизнеса основното предизвикателство не е само инсталирането на актуализацията, а откриването на всички места, където PHP работи – включително в хостинг среди, външни приложения, административни панели и продукти на трети страни. Софтуерният компонент може да присъства в инфраструктурата, без да е очевиден за собственика на системата.
Случаят отново показва защо управлението на уязвимостите трябва да включва актуален инвентар на активите, оценка на изложените към интернет услуги и възможност за бързо ограничаване на достъпа. При критични дефекти времето между публичното оповестяване и активната експлоатация може да бъде изключително кратко. Организациите, които не знаят къде използват дадена технология, рискуват да пропуснат именно системите, които се нуждаят от най-спешна защита.
