Срочное новое предупреждение об установке исправлений поступило менее чем через неделю после того, как разработчики многолетнего языка веб-программирования PHP выпустили исправления для двух уязвимостей, которые позволяют хакерам удаленно взламывать уязвимые системы через интернет без необходимости ввода паролей. Программное обеспечение PHP, по сообщениям, используется примерно 70% веб-серверов, что ставит под угрозу крупные веб-сайты и приложения. Серьезность уязвимостей побудила некоторые правительства и крупные компании отключить свои сайты для их устранения.
Хотя уязвимости имеют критический рейтинг, что означает их высокую опасность при эксплуатации, исследователи безопасности заявили, что разработка рабочего эксплойта для взлома уязвимых систем изначально была сложной, но не невозможной. Подтвержденная эксплуатация в реальных условиях теперь оказывает дополнительное давление на организации, требуя от них установки исправлений для своих систем, чтобы предотвратить злонамеренные компрометации, сбои и утечки данных.
CISA не предоставила подробностей о том, кто эксплуатирует уязвимости в своем заявлении в понедельник, но оно появилось вскоре после того, как исследователи безопасности заявили, что обнаружили доказательства эксплуатации уязвимостей PHP.
Уязвимости, известные как PHP2Shell, используют недостатки в программном обеспечении, которые оставались необнаруженными годами. Уязвимости были впервые обнаружены два года назад, но некоммерческий фонд, поддерживающий программное обеспечение, заявил, что у хакеров нет практического способа их эксплуатации, поэтому уязвимости оставались неисправленными. Это продолжалось до начала этого года, когда исследователи из фирмы по безопасности Calif обнаружили способ эксплуатации двух неактивных уязвимостей с помощью ИИ-модели.
Две уязвимости в PHP являются одними из бесчисленных уязвимостей, которые еще не обнаружены или были отложены на годы, но теперь представляют риск из-за достижений в способности ИИ-моделей находить и использовать уязвимости, в том числе путем объединения нескольких недостатков.
PHP является одной из многих устаревших веб-технологий, которые поддерживают работу интернета и современных технологий, но которые годами недофинансировались и не получали достаточных ресурсов, что затрудняет для проектов с открытым исходным кодом, таких как PHP, оплату аудитов безопасности, которые могли бы выявить недостатки раньше.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Zack Whittaker
