PHP Foundation признала «структурный сбой», задержавший критическое исправление безопасности

PHP Foundation признала, что нерешительность и нехватка ресурсов задержали исправление критической уязвимости в системе безопасности, впервые выявленной в 2024 году, назвав затянувшуюся реакцию «структурным сбоем».

В среду государственные учреждения и другие организации по всему миру отключали сайты из предосторожности, пока PHP выпускала экстренные исправления для двух связанных критических уязвимостей. Эти уязвимости могли позволить неаутентифицированным злоумышленникам выполнять код на затронутых серверах без входа в систему.

PHP — это язык программирования, широко используемый для работы сайтов и веб-приложений, включая системы управления контентом.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

В записи в блоге после выпуска исправления фонд описал, как его разработчики впервые обнаружили признаки уязвимости в 2024 году, но столкнулись с трудностями при поиске решения, которое не нарушило бы работу крупной экосистемы программного обеспечения, созданного с использованием PHP.

«В сочетании с отсутствием известного способа удалённого выполнения кода и тем, что небольшая команда основных разработчиков, обладающих необходимыми глубокими знаниями движка, была занята множеством других обязанностей, этот процесс принятия решений привёл к тому, что работа над исправлением месяцами неоднократно останавливалась и возобновлялась», — заявил фонд.

«Мы не будем делать вид, что это не так: задержка стала структурным сбоем, вызванным как процессом принятия решений командой безопасности, так и нехваткой у неё ресурсов».

11 августа фонду вновь указали на уязвимость после того, как компания по кибербезопасности Calif и OpenAI независимо друг от друга сообщили об одной и той же первопричине. Calif продемонстрировала безусловное удалённое выполнение кода, что сделало уязвимость главным приоритетом в сфере безопасности.

Сайты отключаются на фоне тревоги из-за безопасности PHP

Сбои распространились по всему миру: разработчики отключали сайты, готовясь установить экстренные исправления.

Нидерланды отключили свой сервис цифровой идентификации, а Национальный центр кибербезопасности страны также вывел из сети собственный сайт.

Государственный IT-провайдер Финляндии Valtori отключил государственные общедоступные веб-сервисы, а МВД Франции временно вывело из сети сайты префектур. Федеральный IT-провайдер Германии ITZBund также отключил несколько веб-сайтов, сообщает Reuters.

В Австралии Австралийское управление сигналов признало, что его сайт по кибербезопасности cyber.gov.au оказался среди государственных сайтов, затронутых проблемой PHP.

Премьер-министр Японии Санаэ Такаити обратилась в X с призывом к операторам сайтов как можно скорее подготовиться к установке исправления. В публикации она заявила, что временная приостановка работы сайтов может снизить риск, если исправление нельзя установить немедленно.

Wikimedia Foundation, управляющая Wikipedia, заявила, что из предосторожности вывела из сети некоторые вспомогательные сервисы, включая Toolforge и Cloud VPS, на которых размещаются инструменты и проекты, используемые разработчиками-волонтёрами, из-за чего в среду некоторые части Wikipedia оказались недоступны.

Компания по безопасности блокчейна SlowMist заявила, что её сервис MistEye проверил использование PHP в криптоиндустрии, призвав биржи, платформы DeFi и поставщиков кошельков оценить степень подверженности и обновить ПО. Среди 1 488 проверенных доменов сервис выявил 793 домена с прямыми признаками использования PHP.

Intersect, членская организация, поддерживающая развитие и управление блокчейном Cardano, сообщила, что временно отключила раздел для участников, пока оценивала потенциальную подверженность. На момент написания статьи страница всё ещё недоступна.

По теме: Технологические гиганты спешат заблокировать 8 сертификатов eMudhra, которые могут позволить создавать поддельные сайты

Директор по безопасности Coinbase Джефф Лунгхофер заявил, что компания не обнаружила признаков наличия уязвимых экземпляров PHP.

«Когда мы узнаём о подобных уязвимостях, мы автоматически проводим полную проверку, чтобы убедиться, что всё настолько безопасно, насколько это возможно. Мы также работаем с нашими сторонними поставщиками, чтобы получить дополнительные гарантии».

Компания по инфраструктуре цифровых активов BitGo также заявила, что её платформа не пострадала из-за уязвимости PHP.

Тем временем сооснователь Binance Чанпэн Чжао предупредил интернет-пользователей в среду быть «особенно осторожными» при посещении любых сайтов в ближайшие несколько дней, поскольку некоторые администраторы веб-сайтов могли ещё не установить актуальные исправления безопасности.

OpenAI выпустила навык Codex, который помогает операторам сайтов проверять потенциально уязвимые версии PHP и определять подходящие обновления; получить к нему доступ можно через GitHub.

Команда безопасности PHP заявила, что на момент публичного раскрытия не выявила ни одного работающего эксплойта.

Журнал: 5 альтернатив Ledger для хранения биткоина

Источник