Фонд PHP признал системный сбой из-за задержки критического патча безопасности

Фонд PHP признал, что нерешительность и нехватка ресурсов помещали вовремя устранить критическую уязвимость в системе безопасности, обнаруженную еще в 2024 году, охарактеризовав затянувшуюся реакцию как структурный сбой.

В среду государственные структуры и другие организации по всему миру временно отключали свои сайты в качестве меры предосторожности, пока PHP выпускал экстренные патчи для двух связанных критических уязвимостей. Эти бреши могли позволить неавторизованным злоумышленникам запускать код на уязвимых серверах без предварительного входа в систему.

PHP представляет собой язык программирования, который широко применяется для создания сайтов и веб-приложений, включая различные системы управления контентом.

В публикации в блоге, последовавшей за релизом обновления, представители фонда рассказали, что разработчики впервые заметили признаки уязвимости в 2024 году, однако долго не могли найти способ решения проблемы, который не нарушил бы работу огромной экосистемы софта, написанного на PHP.

В фонде отметили, что из-за отсутствия четкого понимания того, как может быть реализован удаленный запуск кода, а также из-за небольшой команды профильных специалистов, перегруженных другими задачами и обладающих необходимыми глубокими знаниями о механизме работы движка, процесс принятия решений буксовал, а работа над патчем неоднократно возобновлялась на протяжении месяцев.

По словам представителей фонда, скрывать тут нечего: задержка оказалась структурным провалом, к которому привели как особенности принятия решений командой безопасности, так и дефицит ресурсов.

О проблеме фонду напомнили снова 11 августа после того, как специалисты по безопасности из компании Calif и сотрудники OpenAI независимо друг от друга сообщили о той же базовой недоработке. При этом в Calif продемонстрировали безусловный удаленный запуск кода, что вывело задачу в приоритетный список угроз.

Сайты отключаются из-за угрозы безопасности PHP

Сбои затронули весь мир: разработчики отключали интернет-ресурсы в ожидании установки экстренных обновлений.

В Нидерландах отключили сервис цифровой идентификации, а Национальный центр кибернетической безопасности страны также временно закрыл доступ к своему сайту.

Государственный IT-провайдер Финляндии Valtori отключил публичные правительственные веб-службы, тогда как Министерство внутренних дел Франции временно закрыло сайты префектур. Как передает Reuters, немецкий государственный IT-провайдер ITZBund также приостановила работу нескольких веб-ресурсов.

Австралийское управление сигналов подтвердило, что его сайт по вопросам кибербезопасности cyber.gov.au также вошел в число правительственных ресурсов, затронутых проблемой PHP.

Премьер-министр Японии Санаэ Такаити обратилась к пользователям платформы X с призывом как можно быстрее внедрить патч. В своем сообщении она отметила, что временное отключение работы сайтов поможет снизить риски, если установить обновление незамедлительно не получается.

Фонд Викимедиа, управляющий Википедией, сообщил об отключении некоторых вспомогательных сервисов в целях предосторожности, включая Toolforge и Cloud VPS, где размещаются инструменты и проекты добровольных разработчиков, что привело к недоступности отдельных разделов энциклопедии в среду.

Фирма по блокчейн-безопасности SlowMist заявила, что ее инструмент MistEye проверил использование PHP в криптовалютном секторе и призвал биржи, DeFi-платформы и разработчиков кошельков оценить свои риски и обновиться. Среди 1488 проверенных доменов было выявлено 793 ресурса с явными следами PHP.

Организация Intersect, занимающаяся поддержкой разработки и управления блокчейном Cardano, объявила о временном закрытии своего раздела для участников на время оценки потенциальных рисков. На момент написания материала страница по-прежнему оставалась недоступной.

Директор по информационной безопасности Coinbase Джефф Лунглхофер заявил, что компания не обнаружила следов работающих экземпляров PHP.

Как отметил топ-менеджер, при появлении подобных сообщений об уязвимостях специалисты компании сразу проводят полную проверку, чтобы гарантировать максимальный уровень безопасности, а также сотрудничают со сторонними поставщиками для дополнительного контроля.

Компания BitGo, специализирующаяся на инфраструктуре цифровых активов, также подтвердила, что ее платформа не пострадала от уязвимости в PHP.

Тем временем соучредитель Binance Чанпэн Чжао порекомендовал пользователям сети в среду проявлять повышенную осторожность при посещении любых сайтов в ближайшие дни, поскольку некоторые администраторы могли еще не установить свежие патчи безопасности.

OpenAI выпустила специальный инструмент для платформы Codex, который поможет операторам сайтов проверять версии PHP на предмет уязвимостей и определять необходимые обновления; инструмент доступен на GitHub.

Команда безопасности PHP заявила, что к моменту публичного раскрытия информации о проблеме им не было известно ни об одном случае реальной эксплуатации уязвимости.