Сайти відключали заради захисту: дослідження з ШІ виявили критичну загрозу в PHP

Wikimedia та OpenStreetMap тимчасово відключили частину своїх сервісів через критичні уразливості в PHP — мові програмування, яку використовують численні сайти. Дослідження із застосуванням штучного інтелекту показали, що ці помилки за певних умов дозволяють зловмисникам виконувати код на сервері без авторизації.

Розробники випустили виправлення 21 жовтня. За повідомленням PHP Foundation, захищені версії — PHP 8.2.35, 8.3.36, 8.4.27 та 8.5.12.

Помилку помітили раніше, але небезпеку недооцінили

Перші ознаки однієї з проблем розробники виявили ще у 2024 році. Тоді конкретного способу перетворити її на віддалене виконання коду не знайшли, а можливі виправлення створювали ризики для сумісності та роботи програм. Підготовка рішення затягнулася.

Дослідження Calif, OpenAI та Wiz згодом продемонстрували реальну небезпеку. У PHP Foundation визнали, що затримка була структурним провалом, пов’язаним із процесом ухвалення рішень і браком ресурсів.

За поясненням Wiz, сучасні моделі ІІ допомогли дослідникам побудувати складні ланцюжки використання помилок, які раніше було важко реалізувати. Уразливості отримали загальну назву PHP2Shell та оцінку критичності до 9,2 бала з 10.

Наслідками успішної атаки можуть стати захоплення сервера, викрадення даних і підміна вмісту сайтів. Проблема міститься в самому PHP, а не лише в окремому застосунку.

Що саме відключили

Wikimedia повідомила, що 20 жовтня превентивно відключила свої хмарні та інші сервіси. Це повідомлення не означає, що була відключена вся «Вікіпедія».

Команда OpenStreetMap також оголосила про тимчасове припинення роботи допоміжних ресурсів, зокрема вікі, блогу та сайту фонду.

Такі відключення були запобіжним заходом, а не повідомленням про підтверджений злам.

Що потрібно власникам сайтів

Британський Національний центр кібербезпеки рекомендує перевірити, де використовується PHP, встановити виправлення та стежити за підозрілою активністю. Якщо оновлення або тимчасовий захист неможливі, радить розглянути відключення системи від публічного доступу.

Для власників WordPress є окрема важлива деталь: оновити лише сам WordPress недостатньо — потрібно оновити PHP на сервері. Як пояснює команда WordPress, окремого оновлення цієї системи керування сайтом для усунення зазначених проблем не потрібно. Власникам сайтів варто уточнити у хостинг-провайдера, чи встановлено виправлення.