PHP Foundation признала системный сбой после задержки исправления критической уязвимости

Что произошло

PHP выпустила экстренные исправления для двух связанных критических уязвимостей. В среду государственные ведомства и другие организации по всему миру начали отключать сайты в качестве меры предосторожности.

PHP Foundation признала, что исправление уязвимости, впервые выявленной в 2024 году, задержалось из-за нерешительности и нехватки ресурсов. Фонд назвал такую задержку системным сбоем.

Что известно об уязвимостях

Уязвимости могли позволить атакующим без аутентификации выполнять код на затронутых серверах без входа в систему.

PHP — широко используемый язык программирования, на котором работают сайты и веб-приложения, включая системы управления контентом.

Почему исправление задержалось

Разработчики PHP впервые обнаружили признаки уязвимости в 2024 году, но столкнулись с трудностями при поиске решения, которое не нарушило бы работу большой экосистемы программного обеспечения на PHP.

В фонде заявили, что отсутствие известного способа добиться удалённого выполнения кода, небольшая команда разработчиков ядра и множество других обязанностей привели к тому, что работа над исправлением в течение нескольких месяцев неоднократно останавливалась и возобновлялась.

На уязвимость вновь указали 11 августа после того, как компания по кибербезопасности Calif и OpenAI независимо сообщили об одной и той же проблеме. Calif продемонстрировала безусловное удалённое выполнение кода, после чего уязвимость получила высший приоритет.

Какие сервисы отключали

Нидерланды отключили сервис цифровой идентификации, а National Cyber Security Center страны также вывел свой сайт из сети.

Финский государственный ИТ-провайдер Valtori отключил публичные веб-сервисы правительства. Министерство внутренних дел Франции временно отключило сайты префектур.

Федеральный ИТ-провайдер Германии ITZBund также отключил несколько сайтов.