Трескавата надпревара в сряда за инсталиране на корекции за сигурност за две критични уязвимости в PHP – широко използван скриптов език за уеб разработка – вече е закъсняла, за да спре всички атаки, показват новопубликувани подробности.

Пускането в сряда на корекции за две критични уязвимости в PHP накара администратори и специалисти по сигурността да се надпреварват в откриването и отстраняването на уязвимостите в засегнатите уебсайтове и приложения, докато атакуващите неизбежно извършваха обратен инженеринг на корекциите, за да разберат как да експлоатират пропуските. Някои правителства и други организации дори превантивно спряха ключови уебсайтове в очакване на публикуването на обновленията, за да не станат мишена, преди да успеят да приложат корекциите за сигурност.

Но освен засичането на подобна активна експлоатация в сряда, изследване, публикувано в сряда вечерта от Amazon Web Services, показва, че поне един злонамерен субект е започнал опити за експлоатиране на дефектите – известни общо като PHP2Shell – още на 17 октомври, четири дни преди публичното им оповестяване в сряда.

Анализаторите на AWS забелязали експлоатацията от 17 октомври в сряда, докато преглеждали активността на един от своите така наречени honeypots – умишлено уязвими уеб сървъри или други дигитални примамки, които помагат на изследователите да изучават методите и тенденциите на атаките. Опитът е дошъл от IP адрес, за който от AWS заявяват, че е свързан с „комерсиална мрежа за анонимизиране“, с други думи прокси мрежа или VPN.

„Докато уязвимостта беше под ембарго, насочването към honeypot от анонимизиран IP адрес предполага, че дейността е извършена от киберпрестъпник, въпреки че остава неясно как авторът на заплахата е придобил информация за експлоатацията преди публичното разкриване“, пише в публикацията за изследването Си Джей Моузес, главен директор по информационна сигурност на AWS.

Публични демонстрационни експлойти (Proof-of-concept) за PHP2Shell започнаха да се появяват публично в сряда, като някои изглежда са се появили часове преди публичното разкриване в 10:00 ч. сутринта източноамериканско време. В часовете преди оповестяването изследователите от AWS твърдят, че техните honeypots са били атакувани с множество опити за експлоатация, анонимизирани чрез различни доставчици и очевидно с различни цели на атака, което вероятно показва наличието на множество различни нападатели. „Техническият анализ продължава и не е ясно дали някой от тези опити би успял в реални системи“, пише Моузес. Той добави, че „PHP2Shell вече масово се експлоатира активно в реална среда.“

PHP Foundation не отговори веднага на запитването на WIRED за коментар.

Въпреки че не е ясно как се е случила експлоатацията на 17 октомври или откъде произхожда, от AWS подчертават, че констатациите показват как координираното оповестяване на уязвимости трябва да се развива и ускорява предвид глобалния достъп до AI инструменти, които могат да ускорят анализа на уязвимости и да позволят на по-малко технически подготвени атакуващи бързо да разработват нови експлойти.

„Времето от появата на корекцията за сигурност до работещ експлойт се скъсява по структурни причини“, пише Моузес. „В миналото по-голямата част от експлоатацията, която наблюдавахме, се случваше след пускането на публичен демонстрационен модел. Малък брой способни злонамерени субекти създаваха експлойти, а всички останали чакаха тях. Тази зависимост отслабва. Анализът с помощта на изкуствен интелект прави по-евтино превръщането на разликата в кода (diff) на дадена корекция или бюлетин за сигурност в работещ експлойт. В резултат на това повече атакуващи могат да действат в рамките на часове или дори минути след разкриването на техническите подробности за дадена уязвимост.“