Большинство небольших веб-сайтов, как правило, управляются владельцами, не имея в штате специалиста по кибербезопасности. Сайт, как правило, располагается на виртуальном хостинге. PHP — это язык программирования, на котором работают веб-сайты.
Когда пользователь загружает страницу, сервер, на котором запущен PHP, собирает содержимое и отправляет готовую страницу в браузер.
Сервис бесплатный, с открытым исходным кодом и поддерживается волонтерами.
Владельцы сайтов редко взаимодействуют с ним напрямую., но по данным трекера веб-технологий W3Techs, на PHP работает почти 70% всех веб-сайтов, язык программирования которых можно идентифицировать.
В частности, это движок, лежащий в основе WordPress, программного обеспечения, которое поддерживает около 40% всех веб-сайтов, таких как блоги, страницы малого бизнеса, правительственные порталы, интернет-магазины и новостные сайты.
Между тем, 21 октября правительственные веб-сайты по всей Европе отключились из-за того, что операторы пытались устранить две критические уязвимости в PHP.
Разработчики на языке программирования PHP заявили в среду, что выпустят исправления для двух критических уязвимостей, а представители ЕС по кибербезопасности предупредили организации, которые не смогут применить исправления для перевода уязвимых веб-сайтов в автономный режим.
Пользователям необходимо знать:
Две означенные уязвимости оцениваются в 9,2 балла из 10 по шкале серьезности CVSS версии 4.0, стандартной отраслевой системе оценки.
CERT-EU, группа реагирования Европейского союза на кибербезопасность, заявила, что рейтинг указывает на удаленное выполнение кода без проверки подлинности, что означает, что злоумышленник может запускать команды на уязвимом сервере через Интернет без пароля или учетной записи.
Следует принять во внимание, что один-единственный дефект в PHP открывает одну и ту же дверь на миллионах серверов одновременно.
Следовательно, тот, кто использует этот дефект, контролирует веб-сайт.
Так, провайдер веб-хостинга GoDaddy заявил, что это может означать кражу данных, повреждение страниц или компрометацию всей системы.
Технический директор Cloudflare сообщил о появлении первых атак.
Истории предшествовала реакция калифорнийской охранной фирмы, работающие с OpenAI, сообщившей о первом уязвимом месте в PHP 11 августа после того, как обнаружили его в модели OpenAI GPT-5.6 Sol.
Wiz, охранная фирма, принадлежащая Google из Alphabet, самостоятельно обнаружила недостатки и 24 августа сообщила о втором, также используя модели искусственного интеллекта.
Компания Wiz не скрывает, что полученные данные “относятся к числу наиболее серьезных уязвимостей, обнаруженных в PHP, и, возможно, в истории программного обеспечения”.
По мнению экспертов компании, основные недостатки существовали десятилетиями, но для того, чтобы доказать, что их можно использовать, потребовалась цепочка шагов, “на грани того, что исследователи-люди могут практически достичь”.
На этом фоне, администрация президента США Дональда Трампа заявила, что “отслеживает и координирует свои действия с федеральными агентствами и ведущими лабораториями SI, чтобы ускорить выпуск исправления”, ссылаясь на предпочитаемое Трампом название искусственного интеллекта.
Таким образом, Трамп демонстрирует, что американский “сверхразум” укрепляет национальную безопасность.
