PHP отримав термінові патчі для двох критичних вразливостей, виявлених за участі ШІ

Минулого тижня сайти державних установ та компаній по всьому світу тимчасово припиняли роботу. Серед недоступних ресурсів опинилися сторінки агентства кіберзахисту Австралії, національної служби цифрової ідентифікації Нідерландів та поліції Парижа. Причиною відключень стала превентивна безпека через оголошення двох критичних вразливостей у мові програмування PHP, яка забезпечує роботу приблизно 70% вебсайтів (включно з WordPress та Wikipedia).

За словами Майкла Кляйна з Institute for Security and Technology, використання цих прогалин дозволило б зловмисникам отримувати доступ до ІТ-систем без авторизації, модифікувати чи вимикати сайти або викрадати приватні дані.

Роль ШІ у пошуку та експлуатації багів

Обидві вразливості було виявлено компаніями Calif та Wiz незалежно одна від одної за допомогою інструментів штучного інтелекту. Одну з проблем дослідники зафіксували в серпні.

Другий баг команда PHP Foundation знала ще з аудиту 2024 року, проте тоді його не могли експлуатувати, через що пріоритет віддали іншим виправленням. Сучасні моделі штучного інтелекту змогли побудувати складний ланцюжок дій, перетворивши суто теоретичну вразливість на робочий сценарій атаки.

Стан оновлень і витік даних

21 жовтня організація PHP Foundation випустила патчі для свіжих версій мови. Однак приблизно половина підключеного до інтернету ПЗ на PHP працює на застарілих версіях, для яких патчів наразі немає, а деякі з них можуть не отримати їх узагалі.

План координованого релізу порушився через передчасний витік інформації від одного з вендорів за кілька днів до офіційного анонсу. Це спровокувало хвилю невдалих спроб атак з боку хакерів. Через це ФБР рекомендувало вимикати сайти тим, хто не може негайно застосувати патч, а прем'єр-міністр Японії закликав адміністраторів оновитися якомога швидше.

За даними CISA та представників місцевого самоврядування США, успішних зломів через ці вразливості наразі не зафіксовано.