Главное в материале
- В PHP найдены уязвимости, существовавшие годами; атак пока не зафиксировано
- Cloudflare и Palo Alto Networks сообщают о миллионах попыток эксплуатации
- Патч выпущен, но работает только на последней версии PHP — старым сайтам нужно обновление
«Киберэквивалент неразорвавшейся бомбы»
Технологический редактор BBC Зои Кляйнман сравнила ситуацию с уязвимостями в языке программирования PHP с «неразорвавшейся бомбой»: по её словам, она никогда не видела столь драматичного, публичного и глобального реагирования на киберсобытие, которое ещё не произошло. Атак, подобных взломам M&S и JLR в 2025 году, пока не было, но потенциальная угроза настолько серьёзна, что сайты по всему миру отключают в качестве меры предосторожности.
Суть проблемы
Уязвимости в PHP — языке, на котором работают миллионы сайтов, — существовали незаметно годами, и эксплуатировать их непросто. Один исследователь кибербезопасности рассказал Кляйнман, что всю ночь пытался сделать это в качестве эксперимента, но безуспешно. Однако то, что сложно для людей, всё легче даётся ИИ: технология получила признание за помощь исследователям в обнаружении ошибок, а PHP Foundation, курирующая язык, оперативно выпустила исправление.
Утечка и гонка со временем
Информацию планировалось держать в тайне, пока все не исправят свои сайты, но новость утекла — и с этого момента «часы начали тикать». На момент публикации нет сообщений об успешных атаках с использованием этих уязвимостей. Профессор Университета Суррея Алан Вудворд назвал это «настоящей дилеммой»: как предупредить защитников о необходимости патча, не предупреждая при этом атакующих.
Миллионы попыток и роль ИИ
Крупные веб-компании Cloudflare и Palo Alto Networks сообщают о миллионах попыток эксплуатации. Станет ли кто-то из преступников успешен, неизвестно — пострадавшие компании сами могут пока не знать об этом. Профессор Куин Марии Университета Лондона Джина Нефф назвала ситуацию «хорошей новостью»: команда людей при поддержке крупной ИИ-компании использовала ИИ для поиска проблемы, месяцами работала над её устранением и подготовила всех к защите. При этом она и Кляйнман отмечают, что те же ИИ-инструменты доступны и злоумышленникам.
Что делать владельцам сайтов
Киберорганы призывают владельцев сайтов немедленно устранить уязвимости. Однако патч работает только на последней версии PHP, поэтому старым сайтам сначала потребуется обновление — для многих это может стать значительной ремонтной работой. Кляйнман также напоминает: менее двух месяцев назад 100 технологических компаний в открытом письме предупреждали о необходимости нового уровня киберустойчивости в эпоху ИИ.
Источник изображения, Getty Images Недавно в популярном языке программирования PHP, который используется на огромном количестве сайтов по всему миру, были обнаружены уязвимости в области кибербезопасности
