PHP-бомба: сайты срочно ставят на паузу

По всему миру владельцы серверов срочно устанавливают обновления, а некоторые сайты временно отключают: в PHP обнаружили критические уязвимости, которые могут позволить злоумышленникам запускать код и получать доступ к системам. По данным специалистов, попытки атак начались ещё до официального раскрытия проблемы, а на поиск уязвимостей помогла большая языковая модель — ИИ, обученный работать с текстом и кодом.

PHP — язык программирования, на котором работает значительная часть интернета. Разработчики выпустили экстренные исправления и призвали установить их как можно скорее. Две уязвимости, получившие название PHP2Shell, при определённых условиях позволяют выполнять посторонний код на сервере без пароля. Это может дать атакующему контроль над системой, возможность украсть данные или изменить содержимое сайта. Уровень опасности оценили в 9,2 балла из 10.

PHP используется популярными системами управления сайтами — WordPress, Drupal, Joomla и Magento. По данным W3Techs, этот язык применяется примерно на 75% сайтов, у которых удалось определить серверную технологию. Это не означает, что все такие сайты уязвимы или уже взломаны: многое зависит от версии PHP и настроек сервера. Но широкое распространение языка превращает проблему в международную.

По оценке аналитиков, из 2,6 млн обнаруженных серверов с PHP около 1,5 млн сообщают о версиях, для которых исправление не выпущено. Это отдельный риск: даже при наличии патча не каждый сервер может получить обновление — например, если используется старая версия программного обеспечения.

В Нидерландах отключили сайт Национального центра кибербезопасности, портал справочной информации о государственных услугах, сервисы порта Роттердама и нескольких больниц. Во Франции сайты министерства внутренних дел перевели в режим технического обслуживания. Финский государственный IT-поставщик предупредил о возможном отключении сервисов.

Особую тревогу вызывает хронология: первая зафиксированная попытка взлома произошла 17 октября — за четыре дня до официального объявления об уязвимостях. Затем последовали новые попытки. Другая система мониторинга также сообщила об атаках до публичного раскрытия проблемы и отдельно предупредила: защитные фильтры не заменяют установку обновлений. Кто именно стоял за ранними атаками, пока неизвестно. При этом нет подтверждения, что все зафиксированные попытки привели к успешному взлому.

Исследователи обнаружили уязвимости с помощью большой языковой модели. По их словам, ИИ упростил подготовку работающей атаки, на которую прежде требовалось много ручной работы. Та же технология может помочь злоумышленникам анализировать исправления, сравнивать новый код со старым и искать серверы, которые ещё не обновили. Сооснователь TLP Костин Райу предупредил о риске массовых атак на уязвимые веб-серверы.

Исправление задержалось. По данным фонда PHP, признаки одной из ошибок заметили ещё в 2024 году, однако тогда способ её эксплуатации найти не удалось. Подготовка патча затянулась из-за опасений нарушить совместимость программ и нехватки специалистов. В октябре сведения об уязвимостях и демонстрация взлома попали в интернет до запланированного раскрытия, поэтому выпуск обновлений перенесли на 21 октября.

Владельцам сайтов нужно проверить версию PHP и установить исправления. Обновить только WordPress или его плагины недостаточно: важно обновить и сам сервер. Пока нельзя утверждать, что все обнаруженные попытки закончились взломами. Однако широкое применение PHP, уязвимости, которые могли оставаться незамеченными годами, и ускорение подготовки атак с помощью ИИ оставляют владельцам серверов всё меньше времени на реакцию.

PEREC.RU

У цифровой безопасности есть удивительное свойство: она годами выглядит скучной, пока однажды не становится общей проблемой для больниц, госуслуг и портов. После этого выясняется, что обновления — не прихоть занудных администраторов, а та самая скучная работа, которую откладывали до момента, когда сервер уже начал привлекать нежелательное внимание.

Особенно выразителен разрыв между скоростью обнаружения угроз и скоростью реакции на них. Ошибка могла быть известна давно, но исправление требовало осторожности, совместимости и специалистов — то есть всего того, чего обычно не хватает в системах, где экономию принято называть эффективностью. А затем информация утекла раньше срока, и плановый календарь обновлений уступил место пожарной команде.

ИИ здесь не злодей с собственным планом, а ускоритель человеческих намерений. Он помогает исследователям находить слабые места, но тем же способом может обслужить тех, кто предпочитает чужие серверы своим. Технология нейтральна примерно так же, как отмычка: многое зависит от того, кто держит её в руках, а нравоучения после взлома обычно не возвращают данные.

Есть и удобная иллюзия, что достаточно обновить знакомую оболочку сайта — например, WordPress — и можно снова заниматься важными делами. Но инфраструктура устроена менее театрально: красивый фасад не защищает фундамент. Если сам сервер работает на уязвимой версии PHP, косметический ремонт интерфейса не превращает его в крепость.

Кто-то, конечно, предпочитает считать такие инциденты редкими техническими неприятностями. До следующего отключения, когда неудобство уже касается не абстрактного «интернета», а конкретной больницы или государственной услуги. Тогда внезапно выясняется, что кибербезопасность — это не строка для отчёта и не случайно аффилированный подрядчик с презентацией на сорок слайдов, а способность вовремя поставить исправление.

Ирония в том, что уязвимость не обязана поражать каждый сайт, чтобы создать большой ущерб. Достаточно массового распространения технологии, множества не обновлённых серверов и инструмента, который сокращает атакующим путь от идеи до действия. Остальное сделает привычная надежда: «нас-то не заметят» — универсальный план, который особенно хорошо работает до первой записи в журнале атак.

Теперь владельцам систем предстоит не только обновиться, но и проверить, что именно у них запущено и какие версии продолжают отвечать из сети. Пользователям остаётся надеяться, что где-то рядом есть администратор, которому не пришлось сначала увидеть заголовки о временно отключённых сервисах, чтобы получить разрешение на нормальное обслуживание. В цифровом мире профилактика по-прежнему выглядит скучно — ровно до того момента, когда становится единственным способом не объяснять, почему всё выключено.