Разработчики PHP выпустили исправления двух критических уязвимостей после отключения правительственных сайтов

Вашингтон, США. Разработчики PHP выпустили четыре исправления для устранения двух ранее выявленных критических уязвимостей в системе безопасности, призвав пользователей немедленно установить обновления. В среду правительственные веб-сайты в Европе и других регионах были отключены, поскольку операторы по всему миру поспешили обезопасить свои системы после обнаружения уязвимостей.

Критические ошибки приводят к необходимости срочного обновления

По словам разработчиков, уязвимости могут позволить хакерам запускать код на уязвимых системах. Поскольку PHP поддерживает значительную часть интернет-инфраструктуры, раскрытие информации вызвало опасения по поводу потенциальной уязвимости многих веб-сайтов.

Перед выпуском исправлений разработчики объявили об обнаружении двух критических уязвимостей и посоветовали пользователям обновить свои веб-сайты, как только исправления станут доступны. Специалисты по безопасности предупредили, что злоумышленники быстро проанализируют исправления, чтобы определить способы использования систем, которые остались без исправлений.

Фонд признает задержку с ответом

В своем блоге PHP Foundation, который курирует разработку и обслуживание программного обеспечения, признал, что на предыдущее предупреждение не было своевременно обращено внимание.

В 2024 году исследователь по безопасности сообщил, что обнаружил первые признаки ошибки, которая впоследствии привела к появлению одной из уязвимостей. В нем пояснялось, что опасения оставались теоретическими, поскольку не было выявлено конкретных методов атаки, в то время как приоритет отдавался другим четко установленным проблемам с очевидными последствиями.

Фонд охарактеризовал задержку как структурный сбой.

Агентства США дают рекомендации по безопасности

Агентство национальной безопасности США заявило, что уязвимости часто дают злоумышленникам прямой доступ к файловой системе сервера или базе данных. Оно рекомендовало организациям, которые не могут выполнить немедленное обновление, отключить уязвимые системы, чтобы полностью снизить риск.

В отдельном сообщении Агентство по кибербезопасности и защите инфраструктуры (CISA) призвало организации без промедления обновить свои установки PHP. CISA сообщило, что на момент публикации своего сообщения не было замечено использования уязвимостей, но предупредило, что организации, оставляющие системы без исправления, по-прежнему подвергаются риску.