PHP-армагеддон: OpenAI та Wiz від Google виявили давні вразливості, викликавши паніку в мережі

Проблеми в безпеці коду виявили дослідницькі групи OpenAI та Wiz із застосуванням інструментів штучного інтелекту. Бреші в системі існували в усіх релізах мови, починаючи ще з PHP 5, яка вийшла у 2004 році. Зафіксовані дефекти дозволяють зловмисникам отримувати прямий доступ до файлової структури вебсервера або корпоративних баз даних.

Масштаб загрози охоплює значну частину цифрової економіки, оскільки PHP забезпечує функціонування приблизно 70% вебсайтів глобальної мережі, що становить понад 33 мільйони ресурсів, включно з проєктами на базі WordPress. Ситуація ускладнюється тим, що PHP 8.1 і старіші версії більше не отримують технічної підтримки, тому компаніям із застарілим програмним забезпеченням потрібна повноцінна міграція систем на актуальні релізи.

Раніше складність експлуатації виявлених помилок стримувала їхнє застосування хакерами. Однак поширення штучного інтелекту нівелювало цей бар'єр: генеративні моделі здатні автоматизувати підготовку експлойтів під різні конфігурації пам'яті серверів. З огляду на високу ймовірність кібератак, Агентство національної безпеки США рекомендувало тимчасово відключати вебресурси від інтернету, якщо технічні фахівці не можуть оперативно встановити захисні патчі.

До процесу координації та тестування оновлень приєдналися провідні постачальники хмарної інфраструктури, серед яких AWS, Microsoft, Cloudflare, Akamai та Vercel. Попри випуск виправлень організацією PHP Foundation, основний тягар операційних ризиків тепер лягає на власників сайтів і хостинг-провайдерів, які повинні вручну оновити серверне оточення.

Що це означає: для бізнесу зростають непередбачені операційні витрати на терміновий аудит IT-інфраструктури та міграцію застарілих версій серверного ПЗ. Зволікання з оновленням загрожує не лише витоком конфіденційних комерційних баз даних, але й юридичними санкціями за недотримання стандартів захисту інформації, а також прямими фінансовими збитками через вимушене відключення вебресурсів.