Владельцам сайтов рекомендуют срочно обновить PHP после обнаружения двух уязвимостей PHP2Shell. Специалисты нашли их с помощью ИИ, а PHP Foundation выпустила исправления. Cloudflare сообщила, что за два часа после объявления число попыток атак выросло до сотен тысяч.
Уязвимости обнаружили специалисты Wiz, Calif и OpenAI. PHP Foundation раскрыла сведения о PHP2Shell и объявила о выходе обновлений, но атаки продолжились. Установить исправления бывает сложно и не всегда удаётся быстро, поэтому выпуск обновления сам по себе не защищает все сайты.
Cloudflare зафиксировала попытки атак за десять часов до обнародования информации. Через 45 минут после объявления их число выросло до десятков тысяч, за два часа — до сотен тысяч. Позднее компания сообщила уже о миллионах попыток. Эти числа отражают активность атакующих, а не количество успешно взломанных сайтов.
Власти разных стран призывают владельцев сайтов оперативно устанавливать обновления. Некоторые государственные ресурсы временно отключают на время работ. Так же поступают администраторы других сайтов, включая отдельные сервисы Wikimedia и Archive.org. Источник не уточняет, сколько ресурсов уже обновили PHP и скольким ещё требуется исправление.
Обычно исследователь сообщает об уязвимости разработчику продукта, а тот готовит исправление. Затем владельцам затронутых систем нужно установить обновление. ИИ ускоряет поиск ошибок, но администраторам всё равно нужно установить исправления. Попытки атак до публичного объявления сокращают время на обновление сайтов.
В случае с PHP компания Chainguard опубликовала обновления за несколько часов до объявления PHP Foundation. Анализ этих исправлений мог подсказать злоумышленникам, какие ошибки они закрывают. В Chainguard ответили, что нашли те же уязвимости самостоятельно: для этого, по словам компании, хватило запроса к одной из ИИ-моделей.
ИИ используют и для поиска уязвимостей, и для подготовки атак. Снятие ограничений с некоторых открытых моделей упрощает такую работу. Однако не каждый опубликованный эксплойт работает: некоторые ресурсы заявляли о готовых средствах эксплуатации PHP2Shell, но часть из них не срабатывала. Даже сгенерированный ИИ эксплойт может потребовать подготовки и опыта.
За несколько дней появились сообщения и о других уязвимостях: в удостоверяющем центре eMudhra, средствах Node.js, платформе для разработчиков GitLab, ПО медиасервера Plex, облачном провайдере Railway и платформе ИИ-агентов для написания кода OpenCode. Также сообщалось о вредоносном коде, внедрённом в библиотеку LiteLLM, и предупреждении Railway о возможной компрометации клиентских секретов. Эти сообщения касаются разных систем и не связаны с одной ошибкой в PHP.
Некоторые специалисты опасаются, что сайты, которые невозможно обновить или некому обслуживать, могут исчезнуть после взлома. Тогда страницы станут недоступны, а ссылки перестанут работать. Пока это предположение, а не установленный результат атак. В источнике также отмечается, что инциденты с Log4j и Heartbleed представляются более масштабными.
21 октября команда PHP выпустила экстренные обновления для PHP2Shell и предупредила, что обновление сайта или его плагинов не заменяет исправленную версию PHP.