Критические уязвимости в PHP привели к временному выходу из строя нескольких веб-сайтов правительства Уругвая

После того как стали известны две критические уязвимости в PHP — языке программирования, лежащем в основе значительной части Интернета, — несколько государственных веб-сайтов Уругвая временно перестали работать. Как удалось установить , в четверг утром не работали сайты Избирательного суда, Министерства внутренних дел, Министерства здравоохранения, Министерства социального развития, Министерства туризма, а также Министерства транспорта и общественных работ. «В настоящее время мы проводим работы по обновлению наших систем, в связи с чем данный сервис временно недоступен. Мы восстановим работу сервиса в кратчайшие сроки. Приносим извинения за неудобства», — говорится в сообщении Agesic, размещённом на некоторых государственных сайтах. Кристина Зубильяга, исполнительный директор Agesic, пояснила , что на сайты, которые уже возобновили работу, были установлены соответствующие обновления, и что в течение четверга продолжается работа по восстановлению доступа к остальным сайтам. «Проблема кибербезопасности — это проблема нашего времени, и она останется с нами надолго», — подчеркнула она. После обнаружения уязвимостей Агентство национальной безопасности США (NSA) призвало организации и компании немедленно установить исправления или отключить уязвимые системы. Эти уязвимости «часто открывают прямой доступ к файловой системе или базе данных сервера», — указало NSA в заявлении, опубликованном в X. Злоумышленники могут использовать их для получения контроля над веб-серверами без ввода пароля. PHP служит основой для ряда платформ веб-разработки, поэтому его уязвимости потенциально затрагивают огромное количество сайтов. «Если вы используете PHP, необходимо немедленно обновить его», — отметила в своем блоге PHP Foundation, которая финансирует разработчиков, работающих над этим языком. Инженер по безопасности PHP Foundation Фолькер Душ (Volker Dusch) заявил Wall Street Journal, что эти уязвимости являются самой серьёзной проблемой для PHP за более чем десятилетие, сравнив их с Heartbleed — уязвимостью 2014 года, которая вызвала глобальную гонку по установке исправлений. Об этих уязвимостях в августе сообщили компания Calif, специализирующаяся на кибербезопасности, и OpenAI, создатель ChatGPT, которые независимо друг от друга указали на них в один и тот же день. Позже Wiz, компания по облачной безопасности, принадлежащая Google, сообщила о дополнительных способах их эксплуатации и оценила, что на PHP работает около 70 % веб-сайтов по всему миру. В то время об уязвимостях было сообщено в частном порядке разработчикам PHP, и информация оставалась конфиденциальной до тех пор, пока не было подготовлено исправление. OpenAI заявила в X, что считает эти уязвимости «одними из самых серьезных» за последнее время и что их обнаружение «отмечает новый этап, на котором ИИ может находить уязвимости, влияющие на весь Интернет». По материалам AFP