Ранее на этой неделе появилось срочное предупреждение о критических уязвимостях в PHP. Владельцам сайтов рекомендовали немедленно установить обновления, а если это невозможно, временно отключить ресурсы из соображений безопасности.
В подкасте Equity от TechCrunch ведущие обсудили масштаб инцидента и то, как на поиск таких ошибок влияет рост доступности больших языковых моделей и ИИ-агентов. При этом речь шла о том, что эти уязвимости нашли исследователи-люди, а не сами ИИ-системы.
Шон О’Кейн назвал ситуацию «моментом расплаты» и сказал, что если посмотреть на базовые части интернета, то он во многом держится на старом открытом ПО. По его словам, теперь, когда у пользователей есть доступ к LLM и агентам, искать уязвимости станет проще.
Он также отметил, что на этой неделе совпали два процесса: исследователи из компаний и лабораторий, включая Google и OpenAI, нашли ряд уязвимостей, в том числе в PHP, а злоумышленники почти сразу начали пытаться использовать их для взлома сайтов. По словам О’Кейна, правительственные и популярные сайты уже временно отключались, чтобы закрыть уязвимость.
Энтони Ха обратил внимание, что, по его пониманию, речь идет не о новой ошибке: уязвимость могла существовать в PHP десятилетиями. Поскольку этот язык широко использовался при создании веб-сайтов, проблема долго оставалась незамеченной.
При этом Ха отдельно уточнил свою прежнюю оценку. Он заявил, что изначально ошибочно писал, будто уязвимость нашли с помощью LLM. Позже он пояснил, что ошибки обнаружили исследователи из инициативы Hack the Planet, связанной с OpenAI и Wiz, а ИИ использовался уже при эксплуатации бага.
По его словам, публикация информации о проблеме создала напряженную ситуацию: чтобы выпустить исправление, нужно было раскрыть сам факт уязвимости. В итоге владельцам сайтов сообщили, что проблему нужно закрыть немедленно, а при отсутствии быстрого обновления лучше отключить сайт.
Кирстен Коросек напомнила, что многие владельцы сайтов могут даже не знать, что их ресурс работает на PHP. Она пояснила, что PHP, или Hypertext Preprocessor, — один из базовых компонентов популярных систем управления контентом, таких как WordPress и Drupal.
По ее словам, такие системы используются очень широко: речь идет примерно о 70% сайтов и десятках миллионов веб-ресурсов. Именно масштаб, по мнению Коросек, делает инцидент особенно важным.
Она также связала происходящее с более широкой проблемой устаревшего ПО. По ее словам, это может быть лишь началом, и остается вопрос, сколько еще старых программ с подобными ошибками до сих пор используется в интернете.
Коросек сослалась на разбор 404 Media и указала еще на один эффект — link rot, то есть исчезновение старых ссылок и страниц. Если компании, госструктуры и небольшие сайты начнут просто отключать ресурсы вместо обновления, часть веб-истории может исчезнуть.
О’Кейн добавил, что многие остались недовольны тем, как была организована публикация информации об уязвимости, а также тоном сообщения OpenAI. По его словам, часть людей нарушила эмбарго, что могло ускорить реакцию хакеров.
Он сослался на главу Cloudflare Мэттью Принса, который, как сообщается, написал о миллионах попыток атак, связанных с PHP2Shell. О’Кейн пояснил, что в обычной практике кибербезопасности исследователь может сообщить о проблеме производителю ПО в закрытом порядке, но в случае с PHP это сделать гораздо труднее из-за огромного числа затронутых сайтов.
По его оценке, это начало нового этапа для кибербезопасности, где будет все больше споров о том, как раскрывать такие находки и как быстро защищать инфраструктуру интернета.
Коросек также привела пример Amazon. По ее словам, компания опубликовала блог, в котором сообщила, что ее сеть приманок для выявления атак зафиксировала попытки эксплуатации уязвимости еще до публичного раскрытия.
Она подчеркнула, что крупные компании вроде Amazon располагают ресурсами, командами и инструментами для защиты. Но множество других сайтов, включая, возможно, и государственные, не имеют такого уровня защиты.
В завершение Коросек сказала, что особенно ее беспокоит возможное развитие атак на банки, а также риски для данных и приватности. Она также предположила, что на фоне этого инцидента могут появиться новые стартапы в сфере безопасности и дополнительные защитные инструменты на базе открытого ПО.
Источник: TechCrunch, 404 Media, сообщения Мэттью Принса и блог Amazon.
