Что такое PHP и почему он стал поводом для беспокойства специалистов по кибербезопасности по всему миру?

Более десяти лет в технологии, от которой зависит работа значительной части интернет-сайтов по всему миру, оставались незамеченными серьезные уязвимости. Обнаружить их удалось лишь с помощью искусственного интеллекта, что всерьез встревожило специалистов по кибербезопасности.

Это адаптированный перевод материала корреспондента Би-би-си. Оригинал на английском языке можно прочитать здесь.

Речь идет об уязвимостях в языке программирования PHP, который с 2000-х годов повсеместно используется для создания веб-сайтов.

Сейчас, после обнаружения двух таких уязвимостей в PHP, власти и службы кибербезопасности по всему миру принимают срочные меры для защиты сайтов от возможных атак. Владельцам сайтов настоятельно рекомендуют установить экстренные обновления или временно отключить свои сайты.

Компания Wiz, специализирующаяся на кибербезопасности и участвовавшая в обнаружении уязвимостей, назвала их «самыми серьезными» из всех, что когда-либо были выявлены с помощью ИИ.

В компании OpenAI, чьи технологии использовались для поиска уязвимостей, назвали это открытие «одной из самых значимых проблем безопасности за последнее время».

Что такое PHP?

Большинство людей, возможно, никогда не слышали о PHP, хотя наверняка сталкиваются с ним ежедневно.

PHP (Hypertext Preprocessor, «препроцессор гипертекста») — серверный скриптовый язык программирования, который используется в работе множества сайтов и платформ, включая интернет-магазины, «Википедию» и WordPress — систему управления контентом, на которой работают многие сайты, в том числе блоги.

Когда вы заходите на такой сайт, как, например, «Википедия», именно код на языке PHP собирает нужную вам информацию и представляет ее в удобном для чтения виде, объясняет генеральный директор компании Gorilla Cyber Security Пол Спейн.

В чем заключается уязвимость?

Однако обнаруженные уязвимости PHP позволяют злоумышленникам получать контроль над веб-серверами без прохождения аутентификации и похищать конфиденциальные данные. Ресурсы, использующие PHP, оказались под угрозой.

По словам Спейна, искусственный интеллект может сделать подобные атаки проще и быстрее. Число потенциально затронутых сайтов он оценивает в «миллионы и миллионы».

Джилл Слей, исследовательница в области кибербезопасности из Университета Аделаиды, отмечает, что если хакеры или целые государства воспользуются уязвимостями для получения доступа к частным данным, последствия могут оказаться «катастрофическими».

Какие сайты оказались затронуты?

Проблема привела к сбоям в работе сервисов по всему миру, от игровых платформ до правительственных порталов и интернет-форумов.

В частности, фонд «Викимедиа» (Wikimedia), управляющий онлайн-энциклопедией «Википедия», в качестве меры предосторожности временно отключил ряд своих систем.

Аналогичным образом поступили многие другие организации, от Би-би-си до государственных учреждений Финляндии, Шотландии и Нидерландов.

По мнению экспертов, уязвимости представляют особую угрозу для недостаточно защищенных ресурсов, прежде всего сайтов небольших организаций, у которых ограничены средства на обеспечение кибербезопасности.

Как отмечает исследователь в области кибербезопасности Салил Канхере из Университета Нового Южного Уэльса, в ближайшие недели стоит ожидать новых попыток использования этих уязвимостей, поскольку технические подробности стали достоянием общественности.

Что произошло после обнаружения уязвимостей?

21 октября разработчики PHP выпустили обновления, устраняющие уязвимости, которые существовали в программном обеспечении на протяжении многих лет.

«Всем пользователям PHP настоятельно рекомендуется немедленно установить обновления», — заявили разработчики.

Власти и службы кибербезопасности по всему миру поддержали эти предупреждения, призвав владельцев сайтов принять меры по защите своих ресурсов.

В частности, Агентство национальной безопасности США рекомендовало всем организациям, использующим PHP, отключить свои системы, если нет возможности немедленно установить обновления. В ведомстве отметили, что уязвимости могут открыть злоумышленникам «прямой путь» к эксплуатации базы данных системы.

«Эти риски настолько серьезны, что требуют незамедлительного устранения уязвимостей во всех правительственных ведомствах и учреждениях США», — заявили в агентстве.

Национальный центр кибербезопасности Великобритании дал аналогичные рекомендации, посоветовав организациям проверить свои системы на наличие «бэкдоров» — скрытых механизмов доступа, установленных злоумышленниками.

Схожие предупреждения выпустили и профильные ведомства в странах ЕС, Сингапуре и Австралии.

«Мы настоятельно призываем всех принять меры сегодня же», — написала в социальной сети X премьер-министр Японии Санаэ Такаити.

«Если оперативно установить обновление, которое устраняет эту язвимость (патч), затруднительно, временное отключение веб-сайтов или принятие аналогичных мер может стать эффективным способом снижения рисков», — отметила она.

Технологические компании также спешат обезопасить свои системы.

Гигант электронной коммерции Amazon сообщил, что еще до публичного раскрытия информации об уязвимостях в PHP компания столкнулась с несколькими попытками атаки. Пока неизвестно, откуда потенциальные злоумышленники узнали об этих уязвимостях.

Как ИИ находит слабые места?

Уязвимости обнаружили исследователи из компаний Calif и Wiz, специализирующихся на кибербезопасности.

Они использовали передовые инструменты на базе искусственного интеллекта, способные анализировать код и выявлять изъяны гораздо быстрее, чем люди или традиционные системы поиска уязвимостей.

«Современное программное обеспечение невероятно сложно, и некоторые уязвимости могут оставаться незамеченными годами, — говорит Канхере. —Сами ошибки существовали давно — изменились лишь наши возможности по их обнаружению».

Подробности об обнаруженных уязвимостях просочились в сеть на этой неделе, вынудив разработчиков PHP срочно объявить о проблеме и ее масштабах.

Этот инцидент «демонстрирует, как искусственный интеллект может выявлять бреши в защите», но в то же время показывает, как он может «помогать злоумышленникам быстро создавать инструменты для атак и эксплойты (программа или код, который использует уязвимость. — Би-би-си)», отмечается в блоге компании OpenAI.

Разработчики ChatGPT сообщили, что выпустили специальную программу для проверки безопасности PHP.

«Многие из этих изъянов уходят корнями в прошлое: при создании программного обеспечения в те времена во главу угла ставилась функциональность, а не безопасность», — поясняет Райан Ко из Центра кибербезопасности при Университете Квинсленда.

Что можно предпринять для защиты?

Владельцам сайтов настоятельно рекомендуют установить последнюю версию PHP, чтобы защитить свои ресурсы.

По словам Пола Спейна, для большинства технических команд установка такого обновления — стандартная процедура.

Агентство национальной безопасности США призвало к «повышенной бдительности» в ближайшие недели и рекомендовало внимательно следить за обновлениями, выпускаемыми разработчиками программного обеспечения.

По словам Канхере, основная ответственность лежит на владельцах и администраторах сайтов. Однако пользователям также следует обращать внимание на рекомендации по безопасности от затронутых сервисов, например просьбы сменить пароль.

Он также предупредил о возможных фишинговых сообщениях, авторы которых могут воспользоваться широким общественным резонансом вокруг этого инцидента.