Фонд PHP признал «структурный сбой», задержавший критическое исправление безопасности

Задержка исправления уязвимости PHP вызвала глобальные отключения сайтов

Правительственные учреждения и другие организации по всему миру в среду в качестве меры предосторожности временно закрыли сайты, пока PHP выпускал экстренные патчи для двух связанных критических уязвимостей. Эти уязвимости могли позволить неавторизованным злоумышленникам выполнять код на уязвимых серверах без входа в систему.

PHP — это язык программирования, широко используемый для разработки веб-сайтов и веб-приложений, включая системы управления контентом.

В блоге после выпуска патча фонд описал, как его разработчики впервые обнаружили признаки уязвимости в 2024 году, но испытывали трудности с поиском решения, которое не нарушило бы работу обширной экосистемы программного обеспечения, построенного на PHP.

«В совокупности с отсутствием известного способа удалённого выполнения кода и небольшой командой основных разработчиков с глубокими знаниями движка, занятых множеством обязанностей, процесс принятия решений приводил к тому, что работа над исправлением постоянно останавливала и возобновлялась в течение многих месяцев», — говорится в заявлении фонда.

«Не будем скрывать: задержка была структурным сбоем, вызванным как процессом принятия решений командой безопасности, так и нехваткой ресурсов».

Фонд вновь обратил внимание на уязвимость 11 августа, после того как компании по безопасности Calif и OpenAI независимо сообщили о той же основной проблеме; Calif продемонстрировала безусловное удалённое выполнение кода, что сделало эту уязвимость приоритетной по уровню безопасности.

Сайты во всём мире временно отключились на фоне скандала с безопасностью PHP

Нарушения коснулись всего мира, поскольку разработчики отключали сайты, готовясь установить экстренные исправления.

Нидерланды приостановили работу службы цифровой идентификации, а Национальный центр кибербезопасности страны также временно закрыл свой сайт.

Финский государственный IT-провайдер Valtori отключил публичные правительственные веб-службы, а Министерство внутренних дел Франции временно закрыло сайты префектур. Федеральный IT-провайдер Германии ITZBund также ограничил доступ к нескольким сайтам, согласно Reuters.

В Австралии Директорат по связи признал, что его сайт по вопросам кибербезопасности cyber.gov.au был среди правительственных ресурсов, затронутых проблемой с PHP.

Премьер-министр Японии Санэ Такаичи обратилась в X с призывом к операторам сайтов как можно быстрее применить патч. В своём сообщении она рекомендовала временно приостановить функции сайтов, чтобы снизить риск в случае невозможности немедленного применения патча.

Фонд Wikimedia, управляющий Википедией, сообщил, что в качестве меры предосторожности отключил некоторые вспомогательные сервисы, включая Toolforge и Cloud VPS, которые хостят инструменты и проекты, используемые добровольными разработчиками, что привело к временной недоступности части Википедии в среду.

Компания SlowMist, занимающаяся безопасностью блокчейна, заявила, что её сервис MistEye провёл обследование использования PHP в криптоотрасли, призвав биржи, платформы DeFi и провайдеров кошельков проверить уязвимости и обновиться. В ходе проверки из 1 488 доменов было выявлено 793 с прямыми признаками использования PHP.

Intersect, членская организация, поддерживающая разработку и управление блокчейном Cardano, заявила, что временно отключила раздел для участников, оценивая возможные риски. На момент написания материала страница остаётся недоступной.

Главный специалист по безопасности Coinbase Джефф Ланглхофер заявил, что компания не выявила никаких уязвимых инстанций PHP.

«Всякий раз, когда мы слышим о подобных уязвимостях, мы автоматически проводим полную проверку, чтобы убедиться, что всё максимально безопасно. Мы также сотрудничаем с нашими сторонними поставщиками для дополнительной уверенности».

Компания BitGo, работающая в сфере инфраструктуры цифровых активов, также заявила, что её платформа не пострадала из-за уязвимости PHP.

Тем временем сооснователь Binance Чанпен Чжао в среду предупредил пользователей интернета быть «особенно осторожными» при посещении любых сайтов в ближайшие несколько дней, так как некоторые администраторы могут не иметь последних обновлений безопасности.

OpenAI выпустила навык Codex, который помогает операторам сайтов проверить потенциально уязвимые версии PHP и определить необходимые обновления; инструмент доступен на GitHub.

Команда безопасности PHP сообщила, что на момент публичного раскрытия информации не было выявлено никаких работоспособных эксплойтов.