Эти ошибки позволяют при определенных условиях выполнить код на сервере без авторизации. Одна связана с обработкой ошибки нехватки памяти, другая - с использованием внутреннего состояния PHP после освобождения памяти.
Важно, что на PHP построен фундамент российского интернета: сайты на "1С-Битрикс" и WordPress, интернет-магазины, корпоративные порталы, личные кабинеты, сайты госучреждений. При этом уязвимость "сидит" в самом языке и не зависит от того, какая система стоит поверх него.
Проджект-менеджер ГК Softline (MD Audit) Кирилл Левкин объясняет, что для эксплуатации не обязательно находить уязвимость в конкретном сайте: проблема находится ниже, на уровне среды выполнения PHP. По его словам, для российских компаний основной риск связан с публичными веб-серверами, особенно если на них работают старые версии PHP.
При успешной эксплуатации злоумышленник получает возможность выполнять команды с правами процесса PHP. Это не означает автоматического получения прав администратора на сервере, но может дать доступ к конфигурационным файлам, секретам приложения и данным, которые доступны этому процессу.
"В некоторых конфигурациях атака срабатывает еще до того, как запустится код самого сайта, поэтому ни качественная разработка, ни свежая версия CMS здесь не спасают. У обеих ошибок неприятные последствия. Одна позволяет выполнить на сервере свой код, то есть фактически получить над ним контроль. Другая дает возможность заглянуть в память сервера, а там могут оказаться пароли, токены и ключи доступа, которые прошли через сайт в чужих запросах", - рассказал директор по развитию ИИ-систем безопасности Artezio (ГК ЛАНИТ) Сергей Матусевич.
По данным крупных облачных провайдеров, попытки атак начались еще до официального выхода исправлений, отмечает эксперт.
По его словам, самая сложная история у тех, кто сидит на старом PHP. Им мало просто обновиться, нужно переводить сайт на новую версию языка - переписывание части кода, тестирование - это недели и месяцы работы. "Тем, кто не может обновиться прямо сейчас, стоит хотя бы временно снизить риск: отключить настройки PHP, через которые идет атака, поставить фильтрацию запросов, на время закрыть от интернета все, что не критично", - советует Матусевич.
Левкин добавляет, что для поиска таких ошибок особенно полезна возможность анализировать большие объемы исходного кода и находить сложные цепочки состояний, которые трудно заметить при обычном просмотре.
В PHP речь шла об обработке нехватки памяти и состоянии внутренних данных между запросами. Подобные дефекты могут не проявляться в стандартных тестах, говорит эксперт, поскольку возникают при определенной последовательности событий.
Кроме того, обнаружить ошибку и доказать ее эксплуатацию - разные задачи. "Найденный дефект нужно воспроизвести, определить затронутые версии, оценить последствия и проверить, что патч действительно устраняет проблему и не создает новых. ИИ ускоряет отдельные этапы этой работы, но техническая проверка по-прежнему остается необходимой", - говорит Левкин.
Так, уязвимости PHP нашли в рамках проекта, где исследователи ищут ошибки в открытом ПО с помощью ИИ-моделей. Часть проблемного кода, по данным исследователей, живет в PHP еще с 2012 года.
"Тысячи разработчиков читали этот код, его проверяли автоматические анализаторы, и больше десяти лет никто ничего не замечал. ИИ способен перебирать огромные объемы кода и нестандартные сценарии с такой скоростью и терпением, какие человеку просто недоступны", - заключает Матусевич.