АНБ выпустило предупреждение из-за критической уязвимости в PHP, найденной с помощью ИИ
Обнаружена критическая уязвимость в языке PHP, затрагивающая 70% сайтов в мире. АНБ выпустило экстренное предупреждение, а эксперты Wiz и OpenAI помогли подготовить защитные патчи после того, как утечка данных спровоцировала глобальную тревогу.
На этой неделе глобальная сеть оказалась в эпицентре масштабного кризиса кибербезопасности из-за обнаружения уязвимости, затрагивающей не менее 70% всех веб-сайтов и онлайн-сервисов в мире. Опасная брешь была выявлена благодаря достижениям в области искусственного интеллекта и потенциально способна превратить почти любой сайт в инструмент для мощной ИИ-атаки. Агентство национальной безопасности США (АНБ) опубликовало суровое предупреждение, порекомендовав организациям отключить свои ресурсы от сети до установки защитных обновлений.
Анатомия глобальной уязвимости
Уязвимость кроется в коде PHP — бесплатном программном обеспечении с открытым исходным кодом, которое лежит в основе серверов 70% интернет-компаний мира. В то время как HTML отвечает за визуальное отображение страниц, PHP обеспечивает взаимодействие сайтов с серверной частью, базами данных и сервисами обработки заказов. Подавляющее большинство инфраструктур на базе WordPress, а также такие платформы, как Joomla, Drupal и MediaWiki, задействуют уязвимые версии языка.
Как отмечают исследователи из израильской компании по облачной безопасности Wiz Саги Цадик, Шир Тамри, Нир Хофельд и Томер Шварц, эти базовые баги существовали на протяжении десятилетий, однако их эксплуатация требовала невероятно сложной аналитической работы, недоступной исследователям-людям.
«Эти базовые баги существуют уже десятки лет, но доказательство возможности их эксплуатации требовало сложнейших манипуляций, выходящих за рамки возможностей человеческих исследователей. Периферийные модели ИИ значительно снизили этот барьер, превратив старый баг в уязвимость, которую можно использовать», — написали эксперты Wiz в официальном блоге.
Координация и преждевременная утечка
Сама уязвимость была зафиксирована разработчиками PHP еще два года назад, однако из-за высокой сложности ее закрытия или эксплуатации ей не уделяли приоритетного внимания. Прошлым летом мощные модели ИИ позволили экспертам Wiz, Calif и OpenAI независимо друг от друга исследовать проблему и обратиться к создателям PHP для совместной разработки патчей, охватывающих более 300 файлов.
Планировалось одновременное глобальное обновление системы безопасности в четверг, однако одна из компаний-партнеров нарушила эмбарго ради публичности. Это вызвало глобальную путаницу и вынудило АНБ выпустить экстренное предупреждение. На данный момент информации о реальном ущербе не поступало, однако эксперты призывают как можно скорее установить необходимые программные обновления.
