Главное в материале
- Две критические уязвимости в PHP, скрытые десятилетиями, найдены с помощью ИИ; патч PHP Foundation выпущен в среду в 15:00 BST
- Сатья Наделла: не видел подобного «давно, давно»; IT-специалисты работают сутками, часть сайтов отключают в профилактических целях
- Cloudflare и AWS сообщали о «миллионах попыток взлома» в час, но доказательств масштабных атак или утечек данных нет; одна крупная киберфирма отозвала предупреждение о рабочем PoC
Глобальная авральная работа ИТ-специалистов
Администраторы по всему миру несколько суток подряд экстренно устраняют критические уязвимости в PHP — языке программирования, на котором работают миллионы сайтов. Системный администратор из Великобритании Адам Мадд рассказал BBC, что «это был бесконечный марафон»: он никогда не получал столько сообщений от встревоженных владельцев сайтов. По его словам, главная сложность — совмещать просьбы клиентов отключить сайты в профилактических целях с координацией обновлений на множестве разных конфигураций; иногда отключение сайта занимает больше времени, чем само исправление. Он работал с раннего утра до 22:30 по британскому времени и лишился значительной части сна.
Сюрприз без времени на подготовку
На Маврикии ИТ-администратор Логанаден Велвиндрон сообщил, что его команда была завалена работой, когда осознала, насколько широкая зависимость от PHP: многие используемые версии уже не поддерживаются, из-за чего приходится перестраивать веб-приложения и менять код. Он отметил, что объявление об уязвимостях стало неожиданностью и не оставило времени на подготовку. Джон Джонс, технический директор компании цифровой рекламы, назвал предупреждение «откровением» и новым опытом, который при этом ощущался «как сцена из голливудского боевика». Патч от PHP Foundation, курирующей язык, вышел в среду в 15:00 BST, и Джонс описал начавшуюся «гонку», добавив, что обновления всегда несут риск новых проблем.
Паника, дезинформация и противоречивые данные
Ажиотаж усилила ранняя утечка деталей уязвимости и активные слухи о том, что преступники уже атакуют. Британский эксперт Дэниел Кард рассказал, что его «завалили мусорными данными» о хакерах с рабочими proof-of-concept-методами; по его словам, ситуация «в другом измерении» по сравнению с прежними. Он и другие эксперты признают серьёзность уязвимостей на бумаге, но раздражены дезинформацией. Одна крупная киберкомпания выпустила предупреждение о рабочем PoC, а затем отозвала его. Несмотря на заявления Cloudflare и AWS о «миллионах попыток взлома» ежечасно, доказательств масштабных атак или утечек данных нет. Хакеры действительно пытались использовать ИИ для создания методов атаки, но ни один из них пока не работает в масштабе — хотя это может скоро измениться.
Реакция властей и опасения «усталости от оповещений»
Глава Microsoft Сатья Наделла заявил на конференции, что не видел подобной PHP-чрезвычайной ситуации «давно, давно», отметив «длинный день и длинную ночь» для ИТ- и специалистов по безопасности. Оповещения выпускали государственные киберорганы, вплоть до премьер-министра Японии. Сами уязвимости, скрытые от исследователей десятилетиями, были найдены с помощью ИИ. Опрошенные ИТ-работники сходятся, что подобные серьёзные дефекты будут обнаруживаться всё чаще по мере совершенствования ИИ-инструментов. Марк Маундер, основатель Wordfence, инструмента безопасности для WordPress, написал, что с ростом возможностей OpenAI и Anthropic будут находиться «пугающие уязвимости», но призвал «калибровать тональность сообщений»: существует риск «усталости от оповещений», который станет большой проблемой, если появится полностью эксплуатируемая серьёзная уязвимость.
