Фонд PHP признал «структурный сбой», приведший к задержке критического исправления безопасности

Фонд PHP признал, что нерешительность и нехватка ресурсов задержали устранение критической уязвимости, впервые выявленной в 2024 году, назвав затянувшуюся реакцию «структурным сбоем».

Правительственные агентства и другие организации по всему миру отключили веб-сайты в среду в качестве меры предосторожности, пока PHP выпускал экстренные исправления для двух связанных критических уязвимостей. Эти уязвимости позволяют неаутентифицированным злоумышленникам выполнять код на затронутых серверах без входа в систему.

PHP — это язык программирования, широко используемый для создания веб-сайтов и веб-приложений, включая системы управления контентом.

В блог-посте после выпуска исправления фонд описал, как его разработчики впервые обнаружили признаки уязвимости в 2024 году, но столкнулись с трудностями при разработке решения, не нарушающего крупную экосистему ПО, построенного на PHP.

«Сочетание отсутствия известного пути для удалённого выполнения кода и малочисленности команды основных разработчиков с глубокими знаниями движка, занятых множеством задач, привело к многократному замедлению и возобновлению работ по исправлению в течение месяцев», — говорится в сообщении фонда.

«Мы не будем этого скрывать: задержка стала структурным сбоем, вызванным как процессом принятия решений в команде безопасности, так и нехваткой ресурсов».

Фонд вновь обратил внимание на уязвимость 11 августа, после того как ИБ-компания Calif и OpenAI независимо сообщили об одной и той же базовой проблеме, а Calif продемонстрировала безусловное удалённое выполнение кода, что сделало её приоритетной задачей в области безопасности.

Веб-сайты отключаются из-за угрозы безопасности PHP

Масштабные сбои затронули весь мир: разработчики отключали сайты, готовясь установить экстренные исправления.

Нидерланды отключили свою цифровую идентификационную службу, а Национальный центр кибербезопасности страны также временно отключил свой сайт.

Государственный ИТ-провайдер Финляндии Valtori отключил государственные публичные веб-сервисы, а Министерство внутренних дел Франции временно отключило сайты префектур. Федеральный ИТ-провайдер Германии ITZBund также отключил несколько веб-сайтов, сообщает Reuters.

Австралийское управление сигналов (ASD) подтвердило, что его сайт кибербезопасности cyber.gov.au относится к числу правительственных ресурсов, затронутых проблемой PHP.

Премьер-министр Японии Санаэ Такати через платформу X призвала операторов веб-сайтов как можно скорее применить исправление. В своём посте она отметила, что временное отключение функций сайта может снизить риски, если исправление невозможно установить немедленно.

Фонд Викимедиа, управляющий Википедией, сообщил, что в качестве меры предосторожности отключил некоторые вспомогательные сервисы, включая Toolforge и Cloud VPS, которые размещают инструменты и проекты, используемые волонтёрскими разработчиками, в результате чего части Википедии отключились в среду.

ИБ-компания SlowMist, специализирующаяся на блокчейне, сообщила, что её сервис MistEye проанализировал использование PHP в криптоиндустрии и призвала биржи, DeFi-платформы и провайдеров кошельков проверить свою уязвимость и обновиться. Среди 1488 оценённых доменов было выявлено 793 домена с прямыми отпечатками PHP.

Intersect — членская организация, поддерживающая разработку и управление блокчейном Cardano — сообщила, что временно отключила свой раздел для участников при оценке возможной уязвимости. На момент написания материала страница остаётся недоступной.

Главный специалист по информационной безопасности Coinbase Джефф Лунгхофер заявил, что компания не обнаружила признаков уязвимых экземпляров PHP.

«Каждый раз, когда мы узнаём о подобных уязвимостях, мы автоматически проводим полную проверку, чтобы обеспечить максимальную безопасность. Мы также взаимодействуем с поставщиками сторонних услуг для дополнительной гарантии».

Компания BitGo, специализирующаяся на инфраструктуре цифровых активов, также сообщила, что её платформа не затронута уязвимостью PHP.

Между тем соучредитель Binance Чанпэн Чжао в среду предупредил пользователей интернета быть «особенно внимательными» при посещении любых сайтов в ближайшие несколько дней, поскольку некоторые администраторы веб-сайтов могут не установить последние патчи безопасности.

OpenAI выпустила навык Codex для помощи операторам сайтов в выявлении потенциально уязвимых версий PHP и определении подходящих обновлений; он доступен через GitHub.

Группа безопасности PHP заявила, что на момент публичного раскрытия информации не выявила функциональных эксплойтов.

Журнал: 5 альтернатив Ledger для хранения биткоинов