Правительство США заявляет, что хакеры теперь используют критические уязвимости в PHP-коде.
Агентство кибербезопасности США (CISA) подтвердило, что хакеры активно используют две критические уязвимости в широко распространенном веб-приложении PHP, и обязало гражданские федеральные агентства в составе правительства США устранить неполадки в своих системах в течение следующих трех дней.
Новое срочное предупреждение о необходимости установки патчей появилось менее чем через неделю после того, как разработчики языка веб-программирования PHP, существующего уже несколько десятилетий, выпустили исправления для двух ошибок , которые позволяют хакерам удаленно взламывать уязвимые системы через интернет без необходимости ввода паролей. Сообщается, что программное обеспечение PHP используется примерно на 70% веб-серверов, что ставит под угрозу крупные веб-сайты и приложения. Серьезность ошибок побудила некоторые правительства и крупные компании отключить свои сайты для их устранения.
Хотя обнаруженные уязвимости классифицируются как критические, то есть могут нанести значительный ущерб в случае их эксплуатации, исследователи в области безопасности заявили, что разработка работающего эксплойта для взлома уязвимых систем изначально представляла собой сложную, но выполнимую задачу. Подтвержденные случаи эксплуатации таких уязвимостей в реальных условиях теперь оказывают дополнительное давление на организации, заставляя их обновлять свои системы для предотвращения злонамеренных взломов, сбоев и утечек данных.
В своем заявлении в понедельник CISA не предоставила подробностей о том, кто именно использовал уязвимости , но это заявление прозвучало вскоре после того, как исследователи безопасности заявили об обнаружении доказательств того, что уязвимости PHP использовались злоумышленниками .
Уязвимости, известные как PHP2Shell, используют те самые уязвимости в программном обеспечении, которые оставались незамеченными годами. Впервые они были обнаружены два года назад, но некоммерческий фонд, поддерживающий программное обеспечение, заявил, что у хакеров нет практического способа их использовать, и уязвимости не были исправлены. Однако в начале этого года исследователи из компании Calif, занимающейся исследованиями в области безопасности, обнаружили способ использования двух скрытых уязвимостей с помощью модели искусственного интеллекта.
Эти две ошибки в PHP входят в число бесчисленных уязвимостей, которые до сих пор не были обнаружены или которым уделялось меньше внимания в течение многих лет, но теперь представляют собой риск из-за достижений в способности моделей искусственного интеллекта находить и использовать уязвимости, в том числе путем объединения нескольких недостатков в цепочку.
PHP — одна из многих устаревающих веб-технологий, которые помогают поддерживать работу интернета и современных технологий, но которые годами испытывали нехватку ресурсов и финансирования , что затрудняет для проектов с открытым исходным кодом, таких как PHP, оплату проверок безопасности, которые могли бы выявить недостатки раньше.