Сайты властей и СМИ по всему миру отключили из-за критических уязвимостей в PHP. Разработчики уже выпустили исправления
Разработчики языка программирования PHP 21 октября выпустили обновления, закрывающие две критические уязвимости. Из-за угрозы взломов государственные учреждения, компании и СМИ начали превентивно отключать свои сайты. Администраторов призвали немедленно установить исправления. По заявлению разработчиков, полностью устранить угрозу можно только обновлением.
Одну из уязвимостей выявили с помощью искусственного интеллекта GPT-5.6 Sol в рамках инициативы Patch the Planet, сообщила OpenAI.
Какие сайты отключили. По данным Reuters:
➡️ В Нидерландах — сайты Национального центра кибербезопасности, порта Роттердама, пяти крупнейших политических партий и ряда больниц.
➡️ Во Франции — сайты МВД, переведенные в режим профилактического обслуживания.
➡️ В Дании — несколько муниципальных IT-сервисов, включая общенациональную платформу для общения школ и родителей.
➡️ В Великобритании — городской совет Эдинбурга, а также британская вещательная корпорация «Би-би-си».
О временном отключении своих сайтов сообщали «Дождь», «7х7» и The Moscow Times. Под угрозой в России могут оказаться десятки тысяч сайтов, сообщил в разговоре с РБК руководитель центра разработки больших языковых моделей MWS AI, входящей в МТС Web Services.
🔵 Чем опасны уязвимости. PHP обеспечивает работу серверной части множества сайтов, в том числе использующих WordPress, Drupal и Joomla. PHP был создан для веб-разработки. Это серверный язык программирования, который используется для формирования содержимого веб-страниц, отображаемых пользователям при посещении сайтов.
Обнаруженные ошибки позволяют злоумышленникам при определенных условиях выполнять команды на сервере без авторизации, что создает риск кражи данных и захвата контроля над сайтом. Обеим уязвимостям присвоили критическую оценку — 9,2 балла из 10.
Технический директор Cloudflare сообщил о первых попытках атак. При этом американское агентство CISA в своем предупреждении отмечало, что на момент его публикации не наблюдало эксплуатации этих уязвимостей.
🔵 Одну из проблем заметили еще в 2024 году. PHP Foundation признал, что исправление затянулось из-за нехватки специалистов и сложности выбора решения. Полный масштаб угрозы стал понятен после новых исследований, в том числе с использованием ИИ. Выпуск исправлений перенесли с 22 на 21 октября после утечки информации об уязвимостях.