Wiz о багах PHP2Shell: ИИ меняет скорость поиска уязвимостей
TechCrunch выпустил эпизод подкаста Equity о двух критических ошибках в PHP, из-за которых на прошлой неделе (относительно публикации) организации спешно чинили свои системы. Часть компаний даже отключала сайты, пока уязвимости не были исправлены. PHP, язык с открытым кодом, на котором, по данным источника, работают примерно 70% сайтов.
По словам исследователей, нашедших эти ошибки, происходящее, лишь начало: ИИ меняет то, как быстро можно обнаруживать и эксплуатировать новые, ранее неизвестные уязвимости. Издание отмечает, что паника могла исчезнуть из новостных лент, но устранение последствий далеко от завершения.
Ведущая Ребекка Беллан беседует с Томером Шварцем, техническим директором направления Exposure Management & AppSec в Wiz (компания принадлежит Google). Шварц участвовал в авральной работе по устранению ошибок вместе с OpenAI, исследовательской группой Calif и командой PHP.
Согласно описанию выпуска, собеседники обсуждают, как эта гонка выглядела изнутри, как стартапам на ранней стадии с самого начала закладывать безопасность в продукт и почему ручное закрытие уязвимостей не масштабируется. Источник, краткое описание эпизода, а не расшифровка: слова Шварца в нём не цитируются, технических подробностей об ошибках нет. Название PHP2Shell и слово «vulnpocalypse» присутствуют только в заголовке материала.
Ключевые факты
- На прошлой неделе (относительно публикации) две критические уязвимости в PHP заставили организации срочно чинить системы; часть компаний отключала сайты до выпуска исправлений.
- PHP, по данным TechCrunch, лежит в основе примерно 70% сайтов.
- По словам нашедших ошибки исследователей, это лишь начало: ИИ меняет скорость обнаружения и эксплуатации новых уязвимостей.
- Томер Шварц, технический директор направления Exposure Management & AppSec в Wiz, участвовал в исправлении вместе с OpenAI, группой Calif и командой PHP.
- В эпизоде обсуждаются работа изнутри, безопасная разработка в стартапах и то, почему ручные патчи не масштабируются.
Почему это важно
PHP работает, по данным источника, примерно на 70% сайтов, поэтому две критические ошибки затронули много организаций, а некоторые даже отключали сайты до выпуска исправлений. Главный тезис эпизода: по словам нашедших уязвимости исследователей, ИИ меняет скорость, с которой можно находить и эксплуатировать новые уязвимости, и это только начало. Устранение последствий, подчёркивает TechCrunch, далеко от завершения.
Кому это важно
Владельцам и администраторам сайтов на PHP, командам безопасности и разработчикам, которым приходится быстро выпускать исправления. Отдельно, основателям стартапов ранней стадии: в эпизоде говорится о том, как строить продукт с учётом безопасности.
Как это применить
Источник, краткое описание эпизода, практических инструкций в нём нет. Из заявленных тем: закладывать безопасность в продукт с самого начала и не рассчитывать на ручное исправление уязвимостей, которое, по словам участников обсуждения, не масштабируется. Конкретные шаги по защите в описании не приведены.
Можно ли доверять
Материал, анонс подкаста на TechCrunch, а не расшифровка и не технический разбор. Слова Шварца не цитируются, номера CVE, затронутые версии PHP и подробности об использовании ИИ при поиске ошибок не названы. Тезис «это только начало» приписан исследователям, нашедшим ошибки, и подан как их оценка. Название PHP2Shell и слово «vulnpocalypse» есть лишь в заголовке.
Риски и подводные камни
Из описания нельзя узнать, использовались ли ошибки в реальных атаках, сколько организаций пострадало и как долго сайты были недоступны. Нельзя судить и о том, какую именно роль сыграли OpenAI и Calif. Прогноз о том, что ИИ ускоряет обнаружение и эксплуатацию уязвимостей, оценка исследователей, подробно в источнике не обоснованная, поэтому воспринимать её стоит как мнение, а не доказанный факт.