Фонд PHP подтвердил, что первые признаки сбоев, приведших к превентивной приостановке работы различных веб-сайтов в разных странах, появились в 2024 году. Процесс исправления этих уязвимостей был неоднократно прерван и возобновлен из-за нехватки ресурсов и трудностей, с которыми столкнулась команда безопасности.
Эти уязвимости потенциально позволяют злоумышленникам получить контроль над серверами без необходимости использования учетных данных или пароля. Обновление безопасности уже выпущено, и как государственные, так и корпоративные организации приняли превентивные меры для снижения вероятности атак.
Проблема была обнаружена в ходе внешнего аудита, проведенного в 2024 году компанией Quarkslab, французской фирмой, специализирующейся на кибербезопасности. По данным Фонда PHP, усилия по устранению уязвимостей продолжались несколько месяцев и столкнулись с тремя серьезными препятствиями.
Фонд также признал, что безопасность языка зависит от ограниченного числа разработчиков, поддерживаемых фондами, и от добровольцев. Ограничение ресурсов вызывает серьезную озабоченность, учитывая широкое использование PHP в интернете: он применяется в таких известных платформах, как Facebook, Wikipedia и WordPress, а также в Moodle, используемом образовательными учреждениями, и Magento, ориентированном на электронную коммерцию.
Фонд PHP использует инструменты искусственного интеллекта, такие как Claude Mythos, для анализа кода и оценки отчетов об ошибках. Хотя эти ресурсы помогают выявлять проблемы быстрее, они не способны определить оптимальный способ структурирования исправления.
Расследование сбоев вышло за рамки фонда. Компания по безопасности Calif и OpenAI, разработчик ChatGPT, самостоятельно выявили уязвимости и сообщили о них в августе этого года. Позже Wiz, специалист по облачной безопасности, обнаружила другие способы эксплуатации этих уязвимостей.
В среду (21-е число) Wiz классифицировала инцидент как один из самых критических, когда-либо зарегистрированных в PHP. Компания заявила, что такие открытия относятся к самым серьезным уязвимостям, обнаруженным в PHP, и, возможно, в истории программного обеспечения. Компания добавила, что более десяти лет эти критические уязвимости оставались нерешенными, поскольку обнаружение и эксплуатация уязвимостей было чрезвычайно сложным без помощи ИИ.
Для расследования сбоев Wiz использовала модели Gemini 4 Argon от Google и GPT-5.6 Sol от OpenAI.
С среды (21-го числа) правительства и компании различных стран временно приостановили доступ к своим сайтам в качестве превентивной меры против вторжений. В Бразилии Национальное агентство телекоммуникаций (Anatel) и суды приостановили доступ к Электронной информационной системе (SEI), используемой в административном процессе. На данный момент в стране не сообщалось о крупных убытках.
Обширный масштаб подверженности оправдывает обеспокоенность этой уязвимостью. Thiago Ayub, технический директор Sage Networks и эксперт по телекоммуникациям, отмечает, что публичные рейтинги показывают, что PHP используется примерно в 70% сайтов.
При наличии уже доступного обновления безопасности внедрение исправления в затронутых системах является основной стратегией смягчения риска вторжений.