Главное в материале

  • Две критические уязвимости в PHP найдены с использованием мощной модели OpenAI
  • Компании и госагентства в течение недели экстренно выпускали патчи
  • Эксперт предупреждает о «наводнении» уязвимостей из-за скорости ИИ

Что произошло

На этой неделе компании и государственные ведомства экстренно устанавливали исправления для двух критических уязвимостей в PHP — языке программирования, на котором работает значительная часть сайтов мира. Уязвимость, открывающую путь потенциальным хакерам, обнаружили с помощью мощной модели OpenAI; AFP называет это одним из самых громких примеров демонстрации киберспособностей ИИ.

«Начало хаотичного периода»

В интервью AFP Майкл Дэниел, президент Cyber Threat Alliance и бывший координатор по кибербезопасности в администрации Барака Обамы, заявил, что это «начало довольно хаотичного периода» с учётом возможностей продвинутых моделей. По его словам, логичное следствие способности ИИ находить уязвимости быстро и в масштабе — «наводнение» таких уязвимостей. Он сравнил ситуацию с «техническим долгом, который наступил»: организации годами держали старое ПО, не учитывая связанные с ним риски в явных затратах. Экс-директор по кибербезопасности АНБ США Роб Джойс, которого цитирует Дэниел, называл это «большим очищающим лесным пожаром старого ПО».

Что делать организациям

Дэниел советует организациям готовиться к обновлению ПО, поддерживать его актуальность и оперативно внедрять патчи: впереди поток уязвимостей, исправлений и мер защиты, причём «не все они будут одинаково качественны». Малым организациям с ограниченными внутренними ресурсами он рекомендует перестроиться так, чтобы принимать обновления вендоров максимально быстро. По его данным, исторически эксплуатируется лишь 5–6% уязвимостей, и признаков роста этой доли нет, но злоумышленники теперь действуют гораздо быстрее: если раньше от концепта до появления в эксплойт-китах проходили месяцы, теперь счёт идёт на часы или дни.

Дилеммы и ограничения

Для крупных компаний меняется привычный баланс: раньше они практически не допускали риска сбоев и тщательно тестировали патчи, но теперь времени на это нет. Дэниел приводит пример: если риск сбоя от установки патча — один процент, а риск атаки может стоить 50 миллионов долларов, выбор становится нетривиальным. Он также отмечает, что ИИ-инструменты находят много «шума»: PHP-кейс — пример реальной уязвимости, но немало сообщений касаются несуществующих багов или ПО, не выходящего в интернет, поэтому систему триажа нужно улучшать. Через два-три года, по его прогнозу, такие инструменты будут применять к ещё не развёрнутому ПО, что позволит выпускать более защищённые продукты с самого начала. Редакционно отметим: событие затрагивает практически любого владельца сайтов на PHP — практический вывод из слов эксперта один: ускорить приём обновлений, поскольку окно между обнаружением уязвимости и атакой сократилось с месяцев до дней.