Работа государственных сайтов и онлайн-сервисов была нарушена из-за опасений по поводу уязвимости PHP, которая могла позволить злоумышленникам получить контроль над уязвимыми серверами.
Фонд PHP признал, что нерешительность и нехватка ресурсов задержали исправление критической уязвимости безопасности, впервые выявленной в 2024 году, назвав затянувшуюся реакцию «структурным сбоем».
В среду государственные учреждения и другие организации по всему миру превентивно отключили сайты, пока PHP выпускал экстренные исправления для двух связанных критических уязвимостей. Эти уязвимости могли позволить неаутентифицированным злоумышленникам выполнять код на затронутых серверах без входа в систему.
PHP — широко используемый язык программирования, на котором работают сайты и веб-приложения, включая системы управления контентом.
В записи в блоге после выпуска исправления фонд описал, как его разработчики впервые обнаружили признаки уязвимости в 2024 году, но с трудом пытались найти решение, не нарушив работу крупной экосистемы программного обеспечения, созданного с использованием PHP.
«В совокупности с отсутствием известного пути к удалённому выполнению кода и небольшой командой основных разработчиков, обладающих необходимыми глубокими знаниями движка, но занятых множеством обязанностей, этот процесс принятия решений привёл к тому, что работа над исправлением в течение нескольких месяцев неоднократно останавливалась и возобновлялась», — заявил фонд.
«Мы не будем делать вид, что это не так: задержка стала структурным сбоем, вызванным как процессом принятия решений командой безопасности, так и нехваткой у неё ресурсов».
11 августа фонду вновь указали на уязвимость после того, как компания по кибербезопасности Calif и OpenAI независимо сообщили об одной и той же первопричине. Calif продемонстрировала безусловное удалённое выполнение кода, что сделало уязвимость приоритетной задачей безопасности.
Сайты отключаются на фоне опасений из-за безопасности PHP
Сбои распространились по всему миру: разработчики отключали сайты, готовясь установить экстренные исправления.
Нидерланды отключили свой сервис цифровой идентификации, а Национальный центр кибербезопасности страны также вывел свой сайт из сети.
Государственный IT-провайдер Финляндии Valtori отключил общедоступные веб-сервисы правительства, а МВД Франции временно перевело сайты префектур в автономный режим. Федеральный IT-провайдер Германии ITZBund также отключил несколько веб-сайтов, согласно Reuters.
В Австралии Австралийское управление сигналов признало, что его сайт по кибербезопасности cyber.gov.au оказался среди государственных сайтов, затронутых проблемой PHP.
Премьер-министр Японии Санаэ Такаити обратилась в X к операторам сайтов с призывом как можно скорее подготовиться к установке исправления. В публикации она заявила, что временная приостановка работы сайтов может снизить риск, если исправление нельзя установить немедленно.
Фонд Wikimedia, управляющий Wikipedia, заявил, что превентивно отключил некоторые вспомогательные сервисы, включая Toolforge и Cloud VPS, на которых размещаются инструменты и проекты, используемые разработчиками-волонтёрами. В результате в среду некоторые части Wikipedia оказались недоступны.
Intersect, членская организация, поддерживающая развитие и управление блокчейном Cardano, сообщила, что временно отключила раздел для участников, пока оценивала возможную уязвимость. На момент написания статьи страница всё ещё недоступна.
Материал по теме: Крупнейшие технологические компании спешат заблокировать 8 сертификатов eMudhra, которые могут обеспечить создание поддельных сайтов
Главный специалист по безопасности Coinbase Джефф Лунгльхофер заявил, что компания не обнаружила признаков уязвимых экземпляров PHP.
«Услышав о подобных уязвимостях, мы автоматически проводим полную проверку, чтобы убедиться, что всё максимально безопасно. Мы также работаем с нашими сторонними поставщиками, чтобы получить дополнительные гарантии».
Компания цифровой инфраструктуры BitGo также заявила, что её платформа не пострадала из-за уязвимости PHP.
Тем временем сооснователь Binance Чанпэн Чжао предупредил интернет-пользователей в среду быть «особенно осторожными» при посещении любых сайтов в ближайшие несколько дней, поскольку некоторые администраторы сайтов могли ещё не установить актуальные исправления безопасности.
OpenAI выпустила навык Codex, который помогает операторам сайтов проверить наличие потенциально уязвимых версий PHP и определить подходящие обновления; получить к нему доступ можно через GitHub.
Команда безопасности PHP заявила, что на момент публичного раскрытия не выявила ни одного работоспособного эксплойта.
