В PHP закрыли две опасные уязвимости: успешных атак пока не видно

Через день после того, как правительства разных стран предупредили об опасных уязвимостях и посоветовали сайтам рассмотреть отключение до исправления, эксперты и источники в отрасли рассказали NBC News, что сообщений о масштабном ущербе мало или нет вовсе. Ситуация может измениться, а угроза, по словам специалистов по кибербезопасности, сохранится несколько недель или дольше. Но уже в четверг появились признаки того, что злоумышленникам трудно извлечь выгоду из этих дыр.

Уязвимости найдены в PHP, языке программирования сайтов, который по оценке используется примерно на 69% всех сайтов. Две опасные уязвимости исследователи тихо обнаружили в августе, после чего вместе, через границы и специальности, разработали патчи. Исправления выпустили в среду утром. Необычным стало то, что ФБР, Агентство национальной безопасности США, европейские органы кибербезопасности и австралийские разведывательные службы рекомендовали сайтам «уйти в офлайн» до установки патчей, и десятки крупных сайтов по всему миру так и сделали.

Эксперты говорят, что хакеры, судя по многочисленным признакам, неустанно сканировали эти уязвимости в поисках способа атаковать цели. Тем не менее исследователи и представители девяти компаний, CrowdStrike, ESET, Google Threat Intelligence Group, Huntress, Palo Alto Networks, Recorded Future, SecureWorks, Sophos и Trail of Bits, заявили NBC News, что по состоянию на вечер четверга успешных атак не видели. Дон Смит, вице-президент по исследованию угроз британской компании Sophos: по всей телеметрии, несмотря на пристальный поиск, видны лишь несколько реальных попыток эксплуатации. Он полагает, что уязвимости эксплуатировать сложнее, чем думали сначала, и события могут развиваться медленно. Шеррод ДеГриппо из подразделения Unit 42 компании Palo Alto Networks сказала, что эксплуатации в реальных атаках пока не видели, но команда получила более 200 образцов кода, заявленного как эксплойт (доказательство концепции), и расследует их все; по её словам, вопрос о существовании рабочих эксплойтов, лишь дело времени.

Эксперты объясняют ограниченное число атак отчасти закулисной глобальной работой, которая выявила проблему и втихую подготовила исправление. Ей, как говорится в материале, невольно помогли и пределы некоторых общедоступных ИИ-моделей, которые не слишком пригодились для эксплуатации этих уязвимостей, а также немного везения. Дэн Гвидо, глава Trail of Bits, отметил, что уязвимость разрушительна в теории, но технически очень сложна для взлома: опытному сотруднику его компании с десятилетним стажем понадобился целый день, чтобы взломать её с помощью продвинутой ИИ-модели. Открытые модели (open-weight), с которыми работают хакеры и из которых можно убрать ограничения, слабее моделей, доступных передовым исследователям, и обычно плохо справляются со сложными уязвимостями вроде этих.

Но спокойствия нет. Amazon Web Services сообщила, что с помощью ханипотов (ловушек, ненастоящих сайтов, которые исследователи ставят, чтобы заманивать и отслеживать хакеров) нашла признаки попыток эксплуатации как минимум за четыре дня до публичного раскрытия. В блоге компании сказано, что технический анализ продолжается и неясно, удались бы эти попытки в реальных системах. Мэттью Принс, глава Cloudflare, сказал, что компания месяцами обсуждала способ исправления и ни один из её клиентов не пострадал, но предупредил: сервер могли скомпрометировать очень тихо, публичных следов может не быть, а взломщик, просто затаиться внутри. Гвидо возразил, что для взлома серьёзного веб-ресурса мало экспериментального кода и немного удачи: «многие путают доказательство концепции с эксплойтом».

Ключевые факты

Две опасные уязвимости в PHP, который используется примерно на 69% сайтов, нашли в августе; патчи вышли в среду утром, а ФБР, АНБ, европейские и австралийские ведомства советовали сайтам уйти в офлайн до установки исправлений.
Девять компаний (CrowdStrike, ESET, Google Threat Intelligence Group, Huntress, Palo Alto Networks, Recorded Future, SecureWorks, Sophos, Trail of Bits) сообщили NBC News, что по состоянию на вечер четверга не видели успешных атак; Sophos зафиксировала лишь пару реальных попыток.
Unit 42 (Palo Alto Networks) получила более 200 образцов кода, заявленного как эксплойт, и расследует их; по её оценке, рабочие эксплойты, вопрос времени.
Дэн Гвидо (Trail of Bits): уязвимость очень сложно эксплуатировать, опытному сотруднику с 10-летним стажем потребовался целый день и продвинутая ИИ-модель.
AWS по данным ханипотов нашла попытки эксплуатации минимум за четыре дня до раскрытия; Мэттью Принс (Cloudflare) предупреждает о возможном тихом взломе без публичных следов.

Почему это важно

PHP работает примерно на 69% сайтов (оценка), поэтому две опасные уязвимости затрагивают огромную часть интернета. Необычно, что ФБР, АНБ, европейские органы кибербезопасности и австралийские разведывательные службы рекомендовали сайтам уйти в офлайн до установки патчей, и десятки крупных сайтов так и сделали. Первые данные показывают, что массового ущерба нет, но источники сходятся: угроза сохранится недели и дольше, а ситуация может измениться.

Кому это важно

Прежде всего администраторам и владельцам сайтов на PHP, хостинг-провайдерам и командам безопасности, которые решают, насколько срочно ставить патчи. Интересно и тем, кто следит за влиянием ИИ на кибератаки: в материале показано, что доступные модели, включая открытые, пока плохо помогают в эксплуатации сложных уязвимостей.

Как это применить

Патчи уже выпущены (в среду утром), а власти советовали не держать сайты в сети, пока исправления не установлены. Поэтому практический вывод из материала такой: установить исправления как можно скорее. Затишье в атаках не повод откладывать обновление: по словам ДеГриппо, появление рабочих эксплойтов, вопрос времени. Принс отмечает, что взлом мог пройти тихо, поэтому имеет смысл искать следы скрытого присутствия на серверах. В материале не названы идентификаторы уязвимостей (CVE) и затронутые версии PHP, их нужно уточнять в официальных бюллетенях.

Можно ли доверять

Материал основан на заявлениях представителей отраслевых компаний и экспертов, собранных NBC News; автор в тексте не указан. Заявления о «нет успешных атак» относятся к вечеру четверга и ограничены собственной телеметрией каждой компании, поэтому отсутствие наблюдений не доказывает отсутствие взломов, о чём прямо говорит Принс. Оценки в 69% всех сайтов, именно оценка. Что ИИ-модели были мало полезны, в тексте подано как мнение экспертов, без названия конкретных моделей.

Риски и подводные камни

Главный риск, тихие взломы: по словам Принса, скомпрометированный сервер может не оставить публичных следов, а злоумышленник может просто затаиться. Хакеры, по словам экспертов, активно сканируют уязвимости, а AWS видела попытки эксплуатации минимум за четыре дня до раскрытия; неясно, удались ли они. Более 200 образцов кода, выдаваемого за эксплойты, ещё проверяются, и среди них могут оказаться рабочие. Одновременно Гвидо предупреждает, что многие путают доказательство концепции с настоящим эксплойтом, так что часть тревожных сообщений может оказаться завышенной.

«Многие путают доказательство концепции с эксплойтом. Оказывается, написание эксплойтов по-прежнему требует опыта. Притвориться не получится.»

— Дэн Гвидо, глава компании Trail of Bits