Картинка сгенерирована ChatGPT
Эксперты бьют тревогу: в языке программирования PHP обнаружена пара критических уязвимостей. Под ударом могут оказаться десятки, а возможно, и сотни тысяч сайтов Рунета. Об этом в беседе с РБК рассказал Валентин Малых, являющийся руководителем центра разработки больших языковых моделей MWS AI (входит в МТС Web Services). Примечательно, что одну из ошибок удалось выявить с помощью ИИ‑модели GPT‑5.6 Sol. Это пример того, как искусственный интеллект способен находить скрытые слабые места, годами остававшиеся вне поля зрения специалистов.
Инцидент уже привел к ощутимым последствиям за рубежом: 21 октября в ряде европейских стран в качестве меры предосторожности временно приостановили работу сайтов госорганов, больниц и других важных структур. Среди затронутых ресурсов – порталы французских префектур, сайт порта Роттердама, правительственный портал Нидерландов Overheid.nl и даже сайт национальной футбольной ассоциации KNVB. Ограничения коснулись Германии, Франции, Бельгии, Нидерландов и Финляндии. При этом в некоторых странах подчеркивали, что отключение носило превентивный характер: прямых признаков атак или утечек данных зафиксировано не было.
Суть угрозы в том, что уязвимости дают злоумышленникам возможность удаленно запускать собственный код на сервере без какой‑либо аутентификации. Одна из ошибок проявляется при нехватке памяти и позволяет исполнить вредоносный код, вторая связана с сохранением состояния между запросами Она способна привести к утечке конфиденциальных данных из оперативной памяти. В зоне риска – пароли, токены сессий, ключи доступа и сертификаты. Причем такие утечки крайне сложно обнаружить, что делает угрозу особенно коварной.
PHP – один из самых распространенных серверных языков: по данным W3Techs на 21 октября, его используют 90,9% русскоязычных сайтов, для которых удалось определить серверный язык (в глобальном масштабе показатель составляет 69,3%). Он лежит в основе множества проектов, включая сайты на популярных системах управления контентом вроде «1С‑Битрикс», WordPress, Drupal и Joomla. Валентин Малых образно сравнил PHP с тришкиным кафтаном: в нем регулярно находят слабые места, которыми могут воспользоваться киберпреступники. При этом, как отметил эксперт, закрытие подобных уязвимостей зачастую затягивается, что лишь увеличивает период, когда ресурсы остаются беззащитными.
Ключевой нюанс, на который обращают внимание специалисты, состоит в том, что обновление самих CMS проблему не решает: исправлять нужно именно версию PHP, поскольку уязвимость кроется в самом языке. Даже самый простой скрипт на уязвимой версии PHP остается под угрозой. По оценке технического директора «Гарда WAF» Луки Сафонова, именно масштаб распространенности языка делает ситуацию особенно серьезной для Рунета. Во второй половине дня 21 октября крупные российские хостинг-провайдеры начали рассылать пользователям уведомления об угрозе. Многие сайты были отключены или приостановили работу до выхода исправлений, которые появились примерно к 17:00 по московскому времени.
Эксперты подчеркивают: полноценное решение проблемы – своевременное обновление PHP. Компенсирующие меры, например использование WAF (веб‑экранов приложений), способны лишь частично снизить риски и работают только до тех пор, пока злоумышленники не найдут способ обойти фильтр. Ведущий эксперт по управлению уязвимостями Positive Technologies Александр Леонов отметил, что обнаруженные ошибки получили высокую оценку – 9,2 балла из 10 по шкале CVSS 4.0. По его словам, Cloudflare уже фиксирует первые признаки атак, а в открытом доступе распространяется код для эксплуатации уязвимостей.
Рекомендации для владельцев ресурсов звучат предельно жестко: как можно скорее обновить PHP, а после установки исправлений – перезапустить веб-сервер и фоновые обработчики, чтобы исключить использование старого кода из памяти. Тем, кто не может оперативно применить обновление, советуют либо временно ограничить доступ к ресурсу, либо задействовать WAF. Если есть подозрения на взлом, следует восстановить систему из чистой резервной копии, а также сменить все пароли, ключи и токены. Владельцам сайтов на виртуальном хостинге стоит уточнить у провайдера, установлена ли исправленная версия PHP, проверить серверы на наличие посторонних PHP‑файлов и вредоносных веб-оболочек, а также изучить журналы событий начиная с 20 октября.
По словам Олега Рогова, руководителя научной группы «Доверенные и безопасные интеллектуальные системы» Института AIRI, найденные ошибки пробыли в коде PHP более десяти лет и были крайне сложны для обнаружения и эксплуатации вручную. Их выявление стало возможным именно благодаря инструментам на базе искусственного интеллекта, которые способны анализировать код глубже и быстрее человека. В OpenAI ожидают, что в ближайшие месяцы с помощью ИИ будут раскрыты и другие подобные уязвимости. Исследователи и специалисты по безопасности около двух месяцев координировали подготовку исправлений и защитных мер до публичного раскрытия информации; при этом обе уязвимости независимо друг от друга выявили компания Wiz (принадлежит Google) и команда Calif в рамках инициативы Patch the Planet.
Таким образом, ситуация наглядно демонстрирует, насколько критична скорость реакции на киберугрозы: в эпоху массового использования распространенных технологий даже старая ошибка, долгое время остававшаяся незамеченной, способна затронуть огромное количество ресурсов и потребовать скоординированных действий как со стороны разработчиков, так и со стороны владельцев сайтов.