Язык программирования PHP, на котором работает около 70% всех сайтов в мире, столкнулся с двумя критическими уязвимостями. Об этом сообщили PHP Foundation и киберподразделение ФБР, выпустив в среду экстренные рекомендации. Агентства, корпорации и другие организации были вынуждены срочно реагировать.

PHP - это бесплатный язык с открытым исходным кодом, ориентированный на веб-разработку. На нём работают популярные системы управления контентом WordPress и Drupal, а также MediaWiki - программное обеспечение, на котором держится Википедия. Многие государственные сайты также используют PHP.

Уязвимости позволяют злоумышленникам получить неаутентифицированный доступ к сайтам, то есть без пароля. По словам Джеймса Салливана, директора по кибербезопасности и технологиям лондонского Королевского объединённого института оборонных исследований (RUSI), это даёт возможность удалённо управлять веб-сервером, красть или изменять данные, а также использовать систему для новых атак.

В связи с рекомендациями несколько сайтов были временно отключены. Нарушения затронули государственные сервисы и сайты в Великобритании, Финляндии и Японии. Некоторые ресурсы могут оставаться недоступными, так как для разного программного обеспечения требуются разные патчи (исправления), которые ещё нужно получить и протестировать.

По данным PHP Foundation, об уязвимостях было известно как минимум с 2024 года. Специалисты по безопасности разработали несколько конкурирующих решений, но у каждого были недостатки, а практического способа атаки, казалось, не существовало, поэтому работа над исправлением застопорилась. Организация признала ответственность за задержку, назвав её "структурным провалом", вызванным как процессом принятия решений командой безопасности, так и нехваткой ресурсов. Некоторые эксперты полагают, что уязвимости могли быть обнаружены ещё раньше.

В этот раз на помощь пришёл искусственный интеллект. Компания OpenAI сообщила, что за последние два месяца возглавила коалицию исследователей и поставщиков security-услуг для устранения проблем в PHP. Специалисты облачной платформы Wiz также независимо использовали ИИ для выявления уязвимостей.

Доступность ИИ означает, что и крупные, и мелкие организации получили более продвинутые инструменты для проактивной и реактивной защиты. Однако это же оружие есть и у злоумышленников, которые могут масштабно эксплуатировать цифровые слабости. Салливан считает такое противостояние тревожным, но отмечает положительный пример: "Мы увидели достойный случай, когда ИИ обнаруживает критические уязвимости, а сообщество объединяется для их устранения".

Источник: Tech Xplore