U RNR znajšli krytyčnyja dzirki. Pad pahrozaj 70 pracentaŭ sajtaŭ
Pad pahrozaj apynułasia vielizarnaja kolkaść sajtaŭ pa ŭsim śviecie, u tym liku stvoranych na papularnaj płatformie WordPress. Pry hetym zvyčajnaje abnaŭleńnie nie dapamoža.
Na movie prahramavańnia PHP napisanyja prykładna 70% sajtaŭ u śviecie. Na joj pracujuć papularnyja płatformy dla stvareńnia sajtaŭ WordPress, Drupal i Joomla. Tamu surjoznaja pamyłka ŭ jaje kodzie moža mieć nastupstvy daloka za miežami adnoj kampanii ci krainy.
Mienavita takuju prablemu ŭ žniŭni vyjaviŭ daśledčyk amierykanskaj kampanii Calif Rajan Ościn. Jon praviaraŭ kod PHP z dapamohaj madeli štučnaha intelektu GPT-5.6 Sol ad OpenAI i znajšoŭ niekalki niebiaśpiečnych uraźlivaściaŭ, jakija atrymali ahulnuju nazvu PHP2Shell. Jany źviazanyja z tym, jak prahrama kiruje pamiaćciu kampjutara, i pry peŭnych umovach dazvalajuć złamyśniku zapuskać na sierviery staronnija kamandy. Tak možna atrymać kantrol nad sajtam, skraści infarmacyju abo vykarystać uzłamany siervier dla atak na naviedvalnikaŭ.
Cikava, što prablemnyja ŭčastki koda isnavali hadami. Śpiecyjalisty źviartali na ich uvahu jašče niekalki dziesiacihodździaŭ tamu, ale ličyli, što vykarystać takija pamyłki dla realnaha ŭzłomu zanadta składana. Štučny intelekt dapamoh pieraadoleć hetuju pieraškodu. U niekatorych vypadkach dla ataki dastatkova niekalkich dziasiatkaŭ zapytaŭ da sierviera, a sam uzłom moža zaniać ličanyja siekundy.
Vypraŭleńni rychtavali ŭ sakrecie
Kali 11 žniŭnia kiraŭnik Calif paviedamiŭ pra znachodku pradstaŭnikam prajekta PHP, raspracoŭščyki pačali terminova šukać rašeńnie. Da pracy dałučylisia śpiecyjalisty pa kibierbiaśpiecy, u tym liku z Google i OpenAI. Daśledčyki kampanii Wiz niezaležna ad Calif taksama znajšli sposaby vykarystańnia ŭraźlivaściaŭ i prademanstravali mahčymaść atak na sierviery z papularnymi sistemami kiravańnia sajtami WordPress, Drupal i Joomla.
Maštab pracy akazaŭsia vializny. Kab zakryć niebiaśpiečnyja prabieły ŭ abaronie, raspracoŭščykam daviałosia źmianić amal 200 fajłaŭ i napisać bolš za 10 tysiač radkoŭ prahramnaha koda. Uvieś hety čas infarmacyju pra PHP2Shell staralisia zachoŭvać u sakrecie, kab nie padkazać złamyśnikam sposaby ŭzłomu raniej, čym budzie padrychtavana abarona.
Padstavy dla tryvohi byli surjoznyja. Pavodle daśledčykaŭ kampanii Wiz, prynamsi adna z vyjaŭlenych uraźlivaściaŭ prysutničaje ŭ kožnaj pačynajučy z 5.4. viersii PHP. Pry hetym nie ŭsie sajty, jakija vykarystoŭvajuć PHP, možna ŭzłamać, bo ŭsio zaležyć ad naład sierviera i najaŭnaści abnaŭleńniaŭ biaśpieki.
Pradstaŭniki prajekta PHP ličać PHP2Shell samaj surjoznaj prablemaj biaśpieki bolš čym za dziesiać hadoŭ i paraŭnoŭvajuć jaje z uraźlivaściu Heartbleed, jakaja ŭ 2014 hodzie prymusiła kampanii pa ŭsim śviecie terminova abnaŭlać sotni tysiač siervieraŭ.
Pieršapačatkova abnaŭleńni biaśpieki płanavali vypuścić 22 kastryčnika. Ale 20 kastryčnika infarmacyja pra ich prasačyłasia na technałahičny forum Hacker News. Raspracoŭščyki vyrašyli nie čakać i ŭžo 21 kastryčnika apublikavali abnaŭleńni.
Ciapier pačałasia honka z chakierami. Paśla vychadu abnaŭleńniaŭ złamyśniki mohuć paraŭnać stary i novy kod, vyśvietlić, jakija pamyłki vypravili, i pasprabavać uzłamać sierviery, dzie abaronu jašče nie ŭstalavali. Štučny intelekt zdolny značna paskoryć taki analiz.
Jak paviedamlaje Reuters, u Niderłandach i Finlandyi dziaržaŭnyja ŭstanovy pačali previentyŭna adklučać sajty, nie čakajučy mahčymych atak. U Niderłandach časova staŭ niedastupny navat sajt Nacyjanalnaha centra kibierbiaśpieki.
Ahienctva kibierbiaśpieki Jeŭrasajuza CERT-EU rekamiendavała arhanizacyjam, jakija nie mohuć nieadkładna ŭstalavać abnaŭleńni, časova adklučyć uraźlivyja sajty. Anałahičnyja rekamiendacyi vypuścili śpiecyjalisty pa kibierbiaśpiecy Vialikabrytanii, Aŭstralii i Japonii.
Kamientary