PHP-апокаліпсис: критичні веб-баги мало не зламали інтернет

 Багаторічна веб-технологія з відкритим кодом під назвою PHP мало не зруйнувала інтернет через дві вразливості, які роками лежали бездіяльними, поки дослідники нещодавно не знайшли спосіб їх використати.

Ці помилки отримали назву PHP2Shell , офіційно позначені як CVE-2026-109618 та CVE-2026-109619 . Простіше кажучи, ці помилки дозволяють будь-кому, хто знає, як їх використовувати, проникнути в онлайн-систему, що працює на PHP, таку як веб-сайт або сервер, підключений до Інтернету, без необхідності вводити пароль для доступу до даних або їх зміни.

Як завжди, це був досить значний випадок, який змусив мільйони людей у ​​всьому світі поспішати з оновленнями своїх систем, перш ніж зловмисники зможуть ними скористатися.

Фонд PHP, який підтримує веб-програмне забезпечення PHP, у середу публічно опублікував патчі, що виправили помилки. Після встановлення ці патчі запобігають атакам на веб-сервери. Фонд вже надав деяким найбільшим інтернет-компаніям та веб-хостингам, які покладаються на PHP, ранню перевагу у встановленні патчів.

Завдяки тижням кулуарних переговорів та ретельної координації в галузі, світ — поки що — загалом уникнув масового використання інтернет-трафіку. З середи уряди почали закликати громадян та компанії з вебсайтами вжити заходів для зменшення ризиків з їхнього боку. Широкий спектр галузей закрив свої вебсайти та відключив сервіси, щоб виправити свої системи. Банки, роздрібні торговці, ігрові сайти, інтернет-магазини, лікарні та деякі державні установи відключили свої сервери, щоб запобігти атакам.

Але дослідники безпеки попереджають, що ситуація ще не закінчена, і що велика кількість систем по всьому світу залишаються неоновленими та вразливими до хакерських атак і крадіжки даних. 

Також малоймовірно, що це буде останній великий лякаючий момент для інтернет-програмного забезпечення, оскільки деякі очікують, що поява штучного інтелекту швидко виявить ще невиявлені вразливості, які чекають на те, щоб їх знайшли та почали використовувати.

Що сталося?

Дослідники безпеки з Каліфорнії виявили дві помилки в PHP, мові програмування, яка широко використовується в усьому світі для створення веб-сайтів та веб-додатків, як в Інтернеті, так і розміщених локально в мережах компаній, таких як інтрамережі та внутрішні сайти.

PHP має відкритий вихідний код, тобто він безкоштовний і доступний для використання будь-ким практично з будь-якої причини. Таким чином, він став однією з найпопулярніших і найширше використовуваних мов веб-програмування в Інтернеті сьогодні.

Ці дві помилки були вперше виявлені у 2024 році , але на той час не вважалися придатними для використання та не були виправлені. Нещодавно дослідники безпеки знайшли спосіб їх використати, що спонукало їх повідомити розробників програмного забезпечення, щоб вони їх виправили. 

Каліфорнія попередила PHP Foundation, який розпочав період виправлення помилок та скоординованого розкриття інформації. Фонд зробив це, пропонуючи інформацію та патчі щодо проблем безпеки під суворим ембарго — по суті, зберігалися конфіденційно до певного терміну — щоб дати великим компаніям можливість випередити встановлення виправлень.

Чому помилки такі серйозні?

PHP2Shell досить серйозна проблема, оскільки нею можна зловживати віддалено через Інтернет, і жертві не потрібно натискати на посилання чи відкривати файл. Це відомо як віддалене виконання коду , і це один із найшкідливіших видів помилок, які можна експлуатувати, оскільки вони можуть надати хакеру в будь-якій точці світу фактично повний контроль над ураженою та непатченою системою.

Гірше того, ці специфічні помилки PHP дозволяють зламати будь-яку непатчену систему в Інтернеті без необхідності введення пароля чи будь-яких інших облікових даних через Інтернет, що відомо як неавторизований доступ. 

Це дозволило б зловмисному хакеру встановити на комп'ютер шкідливе програмне забезпечення, наприклад, для крадіжки даних або просто для довгострокової підтримки, до якої можна повернутися пізніше.

Чому постраждало 70% мережі?

Ці помилки особливо небезпечні, оскільки PHP — надзвичайно популярне програмне забезпечення, частково тому, що воно безкоштовне та відносно просте у використанні, а також тому, що воно існує вже десятиліттями. Близько 70% інтернет-користувачів базується на PHP, хоча його використання з роками поступово скорочується на користь новіших, безпечніших мов програмування.

З огляду на його популярність, деякі з найпопулярніших веб-сайтів у світі працюють на веб-програмному забезпеченні, що базується на PHP, такому як WordPress (на якому розміщено TechCrunch!), а також Drupal, Joomla та MediaWiki, на якому базується гігант онлайн-енциклопедій Вікіпедія.

PHP — це лише одна з багатьох застарілих, але функціональних технологій, які пережили хвилі інтернету та покоління, і тепер вони настільки повсюдні, що подібні до клею, який тримає значну частину інтернету разом. Часто ці інструменти розробляються розробниками програмного забезпечення з відкритим кодом, яким не платять за виконану роботу, і тому вони не можуть дозволити собі сторонні перевірки безпеки, але на них все ще широко покладаються компанії, які не роблять фінансового внеску в проекти.

Чи використовувався штучний інтелект для виявлення помилок?

Дослідникам безпеки з Каліфорнії приписують виявлення помилок на початку цього року в рамках аудиту безпеки коду PHP. Каліфорнія брала участь в ініціативі Hack the Planet , організованій розробником моделей штучного інтелекту OpenAI та гігантом хмарної безпеки Wiz, яка згодом перевірила експлойти для підтвердження концепції, створені Каліфорнією.

У статті Calif (де представлені комікси — чудово, обов'язково перевірте ), дослідники пояснили, що штучний інтелект використовувався для допомоги в експлуатації помилки, але основна частина роботи спиралася на знання, які дослідники вже мали, і що вони добре знали кодову базу PHP та історію експлуатації.

«Жодна модель не здатна просто виявити «всі помилки» за допомогою простих підказок. Принаймні поки що», – написав Каліфорнія.

Чому помилки були використані до їх розкриття?

Незважаючи на зусилля тримати деталі помилок у таємниці до середи, схоже, що до випуску патчів мала місце деяка експлуатація PHP2Shell.

Компанія Amazon, яка має величезний досвід у сфері онлайн-загроз завдяки своїм розмірам та масштабам, повідомила у своєму блозі , що виявила використання PHP2Shell приблизно за тиждень до того, як стали доступні патчі для PHP, що свідчить про те, що хтось десь знав, як використовувати ці помилки, перш ніж їхня інформація стала широко доступною. Amazon заявила, що незрозуміло, як хакер дізнався про вразливості, але захисникам слід шукати докази використання вже 17 жовтня.

Існує кілька теорій щодо того, що сталося. Після виправлення помилки деталі виправлення можуть стати очевидними одразу, особливо якщо код — як у випадку з PHP — має відкритий вихідний код, що робить його публічним та доступним для перевірки. Використовувати помилки може бути непросто, але знання того, де знаходиться помилка та як її виправили, може дозволити зловмисним хакерам зрозуміти, на що орієнтуватися та як розробляти свої експлойти.

Можливо, десь під час ембарго стався витік інформації або збій у зв'язку. Спільнота відкритого коду величезна, і контроль інформації таким чином залежить від добросовісності. 

Також можливо, що хакери виявили помилки заздалегідь, самостійно або за допомогою шпигунства.

Фонд PHP звинуватив одну компанію в тому, що вона опублікувала патчі за кілька годин до закінчення терміну ембарго, що могло б дати деяким зловмисникам фору, якби вони отримали деталі патчу раніше за інших. Але це не враховує тижневу активність, виявлену Amazon.

Дослідники кажуть, що для того, щоб помилки стали придатними для використання, потрібно багато зусиль , і використання цієї помилки як зброї було складним, але не неможливим завданням, що пояснює, чому ми ще не спостерігали масштабів масової експлуатації.

Але станом на кінець п'ятниці, за даними гігантів безпеки Palo Alto Networks та Trail of Bits , підтверджено компрометацію та активність після експлойту, пов'язану з помилкою PHP . Це означає, що було виявлено, що помилку було зловживано для злому та активної шкідливої ​​діяльності на поки що невідомій цілі.

Значна частина інтернету відключилася, але знову відновлюється. Чи уникнули ми найгіршого?

Це ще лише початок, але обнадійливий знак, що жодних ознак масової експлуатації не було, хоча ми ще не вийшли з небезпечної зони.

Метью Прінс, головний виконавчий директор гіганта мережевої безпеки та моніторингу Cloudflare, який також має телеметричний доступ до значної частини Інтернету, заявив цього тижня , що спостерігається експоненціальна кількість спроб використання помилок після їх розкриття. Це дає певне уявлення про те, як швидко зловмисники намагаються використати ці недоліки для власної вигоди.

PHP використовується не лише на веб-серверах, але й в інструментах розробника, пакетах командного рядка та терміналів, а також в інших програмних компонентах, що використовуються маршрутизаторами, пристроями зберігання даних та корпоративними пристроями безпеки, такими як брандмауери та VPN. 

Варто очікувати використання PHP2Shell у майбутньому, оскільки невеликі ІТ-команди та окремі розробники можуть повільніше оновлюватися. Також настане період, коли різні компанії, які покладаються на PHP та інтегрують його у власні продукти та програмне забезпечення, також потребуватимуть оновлення.

Зі збільшенням кількості оновлень пристроїв і систем, площа атаки з часом зменшуватиметься. Але наслідки цих помилок можуть відчуватися ще роками, особливо у застарілих системах, які не мають можливості оновлення.

Чи станеться це знову?

Це був один із тих рідкісних днів, коли інтернет простоював, які я бачив за час своєї роботи репортером з питань безпеки. У 2016 році масивна ботнет-мережа затопила інтернет-реєстр Dyn небажаним трафіком, що призвело до зупинки багатьох провідних веб-сервісів. У 2017 році Північна Корея використала витік хакерських інструментів уряду США, щоб заразити систему охорони здоров'я Великої Британії програмою-вимагачем. А в 2024 році несправне оновлення CrowdStrike спричинило масштабний глобальний збій, в результаті якого більшість комп'ютерів Windows у світі одночасно вийшли з ладу.

За всіма даними, завдяки PHP2Shell інтернет уникнув того, що в іншому випадку могло б стати надзвичайно болісним та руйнівним днем. Але навряд чи це буде останній великий інцидент, який торкнувся мережі, і це може бути перший у низці інцидентів, що використовують слабкі місця застарілих технологій. Значною мірою це пов'язано з притаманними недоліками старіючого, але всюдисущого програмного забезпечення, які ще не виявлені, а також з інструментами штучного інтелекту, які полегшують пошук недоліків.

PHP, як і інші мови веб-програмування та технології десятиліть тому, є «небезпечними для пам’яті», що означає, що на них можна атакувати через цілий клас вразливостей, які можуть призвести до витоку або розливу конфіденційних даних з пам’яті програмного забезпечення. Агентство національної безпеки стверджує, що близько 75% усіх активно експлуатованих вразливостей зловживають недоліками, пов’язаними з пам’яттю, тобто хакери часто їх використовують.

Це сприяло переходу до використання мов програмування, безпечних для пам'яті, таких як Python, Rust та Swift, які не можна використовувати так само, як вразливості пам'яті. Таким чином, ці мови роблять їх загалом стійкими до широкого спектру вразливостей, які досі впливають на їхніх попередників.

Але це все ще залишає цілий шматок інтернету, на якому використовується низка технологій, таких як PHP, медіа- та відеокодеки, бібліотеки стиснення та інше програмне забезпечення десятиліть давнини, які, коли вийдуть з ладу, матимуть величезні наслідки для решти мережі.