Екипите по интернет сигурност и уеб администрация по целия свят предприемат спешни мерки, за да предотвратят широкомащабно бедствие. В сряда разработчиците на широко използвания език за програмиране PHP пуснаха извънредни обновления за сигурност, предназначени да отстранят критични дефекти, които биха могли да бъдат експлоатирани, за да позволят на атакуващите да придобият опасен отдалечен контрол над засегнатите системи.

Фондацията PHP детайлизира двете критични уязвимости — CVE-2026-109618 и CVE-2026-109619 — които засягат „всички инсталации на PHP, обслужващи уеб заявки“ чак от версия PHP 5, пусната през юли 2004 г. Въпреки това, според предупреждението, само PHP 8.2 и по-нови версии все още се поддържат и ще получат корекции за сигурност. Фондацията PHP отбеляза също, че някои дистрибуции на PHP и външни доставчици все още създават корекции за остарели версии. Тази подробност е от голямо значение, тъй като всеобхватни и фундаментални уеб компоненти като PHP могат да останат забравени и необновени в историческата интернет инфраструктура.

„Няма пълни мерки за временно ограничаване, обновяването е единственият безопасен избор“, написа фондацията PHP в своите бюлетини. Експертите по сигурност предупреждават за потенциалните тежки последствия от пренебрегването на системи без инсталирани корекции за сигурност.

„Това не е учение“, казва Лукаш Олейник, независим консултант по сигурност и гост-старши изследовател в King’s College London. От създаването си през 90-те години на миналия век, PHP се превърна в основен скриптов език за уеб разработка и се използва в огромни части от интернет в уебсайтове и софтуер. Всичко — от платформи за публикуване като WordPress и Drupal до платформи за електронна търговия като Magento на Adobe — е изградено върху PHP.

Олейник оприличава широкото използване на езика за програмиране на критична инфраструктура.

„Въздействието е огромно“, казва той за дефектите в сигурността на PHP, като добавя, че милиони системи могат да бъдат засегнати. „Особено ако атакуващите преминат бързо към експлоатиране на тези уязвимости. Най-лошият сценарий е саморазпространяващ се зловреден софтуер, засягащ големи части от интернет.“

Водещият страх за екипите по сигурност и разработчиците е, че злонамерени хакери могат бързо да се възползват от уязвимостите и да започнат да експлоатират внедрените системи, преди те да бъдат коригирани. Компанията за интернет инфраструктура Cloudflare съобщи, че е „забелязала появата на ранни атаки“, преди фондацията PHP да даде подробности за уязвимостите и да пусне корекциите. „Очакваме масовите атаки да започнат в рамките на 15 минути след публикуването“, написа компанията за сигурност Sansec преди пускането на корекциите, които бяха предоставени малко преди 10:00 ч. сутринта източноамериканско време в сряда.

„По-голямата част от уеб пространството работи на PHP и този дефект се намира в интерфейса за качване на файлове, който е като входна врата без брава“, казва дългогодишният консултант по сигурност и съответствие Дейви Отенхаймър. „Не е необходимо атакуващият да знае към кой сайт се насочва или дори какъв софтуер работи в действителност. Изпраща се едно специално модифицирано качване към произволен сървър, който открият, и това е цялата атака.“

Преди обновените версии на PHP да станат налични, някои организации временно спряха уебсайтовете си като предпазна мярка. Множество сайтове, принадлежащи на правителството на Финландия, включително Националната поземлена служба, бяха недостъпни, според докладите. Уебсайтове на френското правителство и уебсайтът на пристанището в Ротердам също бяха офлайн, според Reuters.

„Всеки трябва да инсталира корекции за сигурност незабавно, експлоатацията може да се случи много бързо и в голям мащаб“, казва Олейник. „Изкуственият интелект прави експлоатирането на подобни уязвимости въпрос на спешна неотложност. Буквално за минута или нещо подобно.“

Компанията за сигурност Wiz, която е собственост на Google, заяви, че нейните изследователи са открили уязвимостите в PHP отчасти чрез инструменти с изкуствен интелект, докато OpenAI и фирмата за сигурност Calif също споделят, че са открили проблемите независимо и са работили съвместно. Определяйки демонстрацията на експлоатация като php2shell, изследователите от Wiz пишат, че в някои случаи уязвимостите могат да бъдат експлоатирани „достатъчно лесно“.

„Уязвимостите могат да позволят на неудостоверени атакуващи да изпълняват код на засегнатите сървъри или да четат чувствителна памет на процесите“, пише Wiz в своето проучване. „Тази памет може да съдържа пароли, токени за автентикация, API ключове и сертификати, принадлежащи на други заявки или на самия сървър.“

Подробности за предстоящите уязвимости се появиха за първи път от поддържащите PHP на 20 октомври. В кратко съобщение на уебсайта на PHP, фондацията PHP написа, че дава „предварително известие“ за дефектите в сигурността и предстоящото пускане на корекциите. Макар и да спести конкретни подробности относно уязвимостите или засегнатите версии, тя посочи, че и двата дефекта се оценяват с „критичен“ резултат от 9.2 от 10 по Общата система за оценка на уязвимостите (CVSS).

„Запазваме си правото да ги публикуваме по-рано, ако подробности за някоя от уязвимостите станат публично достояние или ако се появят доказателства за активна експлоатация в реална среда“, се казва в предупреждението за сигурност на сайта на PHP преди пускането им в сряда. Според репортажи на Bleeping Computer и Ars Technica, част от данните за уязвимостите може да са изтекли преди официалното им публикуване.

Ранното предупреждение от фондацията PHP може да е дало на някои разработчици, екипи по сигурност и компании достатъчно време, за да започнат подготовка за обновяване на системите, използващи PHP. Преди публикуването на подробностите, предупреждения от Екипа за незабавно реагиране при компютърни инциденти на ЕС (EU-CERT) и агенцията по киберсигурност на Австралия заявиха, че ИТ екипите трябва да са готови да обновят системите си възможно най-скоро, като съществува вероятност уебсайтовете да бъдат спирани временно, докато се прилагат корекциите за сигурност.

По подобен начин Националният център за киберсигурност на Обединеното кралство (NCSC) публикува предупреждение, в което заявява, че организациите трябва да „се подготвят за незабавно обновяване на системите“, използващи PHP. „Там, където незабавното отстраняване на проблема не е осъществимо, организациите трябва да обмислят спирането на системата офлайн, докато заплахата бъде напълно ограничена“, написа агенцията в интернет.

NCSC съветва организациите и компаниите да идентифицират системите, изпълняващи PHP в тяхната технологична инфраструктура. Трябва да се обърне специално внимание на системите с PHP, които са свързани към интернет, включително наблюдение за евентуална експлоатация. Следващата стъпка е прилагането на обновленията за PHP, веднага щом са налични, както и следенето за актуализации от софтуерни компании, тъй като те могат да използват PHP в своите приложения или услуги.

„Ако откриете признаци на компрометиране, изолирайте системата, запазете записите от уеб сървъра и регистрите на PHP и докладвайте на местния офис на ФБР“, написа в интернет Брет Ледърман, заместник-директор по киберсигурност във ФБР. „Тези доклади ни помагат да идентифицираме замесените автори на заплахи и да предупредим други организации, преди да станат жертви.“