Обнародованы подробности о критической уязвимости в языке программирования PHP, который лежит в основе более чем 70% всех сайтов в мире. Если бы проблему не исправили, хакеры могли бы относительно легко захватывать и компрометировать миллионы веб-ресурсов, а вместе с ними — данные, хранящиеся на их серверах.

После появления информации о риске несколько европейских правительств и операторов, включая администрацию порта Роттердама, начали отключать сайты. Австралийское управление сигналов, американское агентство киберобороны, а также аналогичные структуры в Великобритании, Европе и Японии предупредили разработчиков о необходимости срочно установить обновления в базовые системы и, при необходимости, временно убрать сайты из сети, пока безопасность не будет гарантирована.

Организация, стоящая за этим бесплатным открытым языком программирования, уже выпустила обновления, закрывающие уязвимость. Но на то, чтобы установить их на миллионы систем, использующих PHP, потребуется время.

PHP нередко называют «основой интернета». Это язык программирования, то есть способ отдавать компьютерам команды. Он существует с 1997 года и позволяет сайтам обрабатывать пользовательские запросы и выполнять скрытую от глаз работу на сервере.

Сила PHP — в его универсальности. Его используют для входа в аккаунты, работы интернет-магазинов, обращения к базам данных и работы миллионов блогов и новостных сайтов. PHP работает не на личном компьютере пользователя, а на сервере, поэтому большинство людей взаимодействуют с ним каждый день, даже не замечая этого.

Повод для тревоги появился еще в августе, когда исследователи кибербезопасности из компании Wiz применили собственные инструменты, а также новейшие версии ИИ-моделей Gemini от Google и ChatGPT от OpenAI, чтобы изучить огромную кодовую базу PHP. Команда искала скрытые слабые места, которые злоумышленник мог бы объединить в цепочку и получить контроль над системой, работающей на PHP, всего лишь отправив в интернет тщательно подготовленный запрос.

Через несколько дней специалисты нашли способы проникновения в системы на PHP, включая Drupal и WordPress, которые используются на огромной части веба. После этого Wiz уведомила команду безопасности PHP о найденных проблемах.

К концу сентября разработчики PHP подтвердили наличие уязвимости и негласно начали работу над исправлением. В кибербезопасности это считается правильной практикой: найденную ошибку обычно не раскрывают публично до выхода патча, чтобы не дать хакерам готовую карту для атаки.

Изначально именно такой сценарий, похоже, и планировался. Однако накануне пользователь популярного отраслевого сайта Hacker News преждевременно раскрыл информацию о проблемах безопасности еще до готовности патчей. После утечки разработчики PHP спешно подтвердили наличие уязвимости 21 октября и выпустили экстренные исправления раньше запланированного срока.

Внедрить эти патчи — задача далеко не простая. Поскольку PHP лежит в основе тысяч сторонних плагинов, фреймворков и управляемых хостинговых сервисов, сайт считается защищенным только тогда, когда все звенья цепочки поставок интегрируют и развернут обновление.

Проблема повторяется снова и снова не случайно. Значительная часть интернета построена на базовых технологиях, которые создавались и поддерживались энтузиастами. Многие из них живут на пожертвования и добрую волю, а не на устойчивое корпоративное финансирование. При этом многие инструменты были разработаны десятилетия назад и никогда не проектировались для мира, где миллионы сайтов и миллиарды устройств используют их для обработки чувствительных и личных данных.

Ситуацию усугубляет то, что обслуживание редко становится приоритетом для организаций. Компании часто знают лишь самые общие детали о своих цепочках поставок — физических или цифровых. Даже в столь громких случаях многие бизнесы до конца не понимают, на какое именно программное обеспечение они завязаны, не говоря уже о том, насколько оно защищено.

Что делать? В первую очередь это вопрос для тех, кто поддерживает сайты и управляет технической инфраструктурой. Им нужно немедленно устанавливать обновления, как только они появляются, а при необходимости — временно отключать критически важные системы от интернета, пока не будет уверенности в их безопасности.

Обычным пользователям интернета стоит помнить, что уязвимость затрагивает серверы, на которых размещены сайты, а не их личные устройства. Однако поскольку некоторые ресурсы могут быть временно скомпрометированы до установки патчей, в ближайшие дни разумно с осторожностью вводить чувствительные личные данные на незнакомых сайтах.

Крупные облачные провайдеры и компании, занимающиеся безопасностью, уже разворачивают экстренные фильтры, но глобальная гонка за защиту веба только начинается. Команды кибербезопасности по всему миру пытаются локализовать ущерб, однако масштаб проблемы стал тревожным сигналом для всех.

Правительства и бизнес не могут и дальше игнорировать устойчивость своих цифровых цепочек поставок. Так же как производители отслеживают поставщиков физических компонентов, цифровая инфраструктура тоже должна учитывать каждую систему и каждый фреймворк, на которых она держится. Сбор этой информации — первый шаг к тому, чтобы государства и компании по-настоящему поняли, насколько их цифровая устойчивость зависит от кода, который часто создается и поддерживается энтузиастами практически на общественных началах.

Пока бизнес не начнет воспринимать финансирование базовых open source-инструментов как важнейшую инвестицию в безопасность, а не как благотворительность, подобные уязвимости будут возникать снова и снова.