Vieną dieną pažeidžiamos kelios kritinės kibernetinės saugumo spragos paveikė pagrindines technologijas

Vaizdas: TechCrunch · Šaltinis

Per vieną dieną PHP, Node.js, LiteLLM ir Indijos sertifikavimo institucijoje nustatyti kritiniai saugumo trūkumai, skatinantys skubius atnaujinimus ir pataisas, siekiant užkirsti kelią plačiam žalai.

2026 m. spalio 21 d. kibernetinio saugumo komandos visame pasaulyje susidūrė su intensyvia pažeidžiamumų banga, pabrėždamos didėjančius skaitmeninės infrastruktūros apsaugos iššūkius. Kelios plačiai naudojamos technologijos patyrė rimtų saugumo problemų, dėl ko reikėjo skubių pataisų, rekomendacijų ir sprendimų.

Svarbus incidentas buvo susijęs su PHP programavimo kalba, kuri yra pagrindinė daugelyje vyriausybinių ir įmonių svetainių. Dirbtiniu intelektu paremta atranka atskleidė kritinius pažeidžiamumus, kurių rimtumas privertė JAV Nacionalinę saugumo agentūrą (NSA) pateikti rekomendacijas organizacijoms nedelsiant atnaujinti PHP arba išjungti sistemas rizikos sumažinimui. Pranešama, kad šis incidentas sukėlė vyriausybinių svetainių neveikimą visame pasaulyje.

Netrukus po to Node.js, pagrindinė atvirojo kodo JavaScript vykdymo aplinka, plačiai naudojama žiniatinklio programose, išleido pataisas keturioms aukšto rimtumo saugumo spragoms. Tarp jų buvo nuotolinio kodo vykdymo spraga ir dvi silpnybės, leidžiančios apeiti TLS patvirtinimą, taip grasinant serverių autentiškumo patikrinimui ir atverdant galimybę klausyti arba apsimesti komunikacijos pusėmis.

Tuo pat metu LiteLLM, atviro kodo tarpininkas, nukreipiantis užklausas keliems dideliems kalbos modelių (LLM) tiekėjams, patyrė tiekimo grandinės kompromisą. Kenkėjiški veiksmai įdiegė kenkėjiškų versijų į PyPI, Docker Hub ir GitHub Container Registry. Užterštose paketėse buvo informacijos vagis, taikantis debesijos ir DI paslaugų kredencialams, bei nuotolinio prieigos trojanas, leidžiantis užpuolikams valdyti užkrėstas sistemas. LiteLLM greitai pašalino kompromituotas versijas ir pateikė naudotojams remonto instrukcijas.

Papildomai sumaištį kėlė Indijos sertifikavimo institucijos eMudhra pranešimas apie privačio rakto kompromitavimą. Šis pažeidimas galimai leidžia užpuolikams išduoti netikras skaitmenines pažymas, palengvinant svetainių apsimetimą ir „vidurio žmogaus“ atakas. Saugumo ekspertai palygino reikiamus pakeitimus su tais, kuriuos reikėjo atlikti po garsiosios OpenSSL Heartbleed spragos.

Šie incidentai sekė po neseniai įvykusių pažeidimų, įskaitant debesijos duomenų bazės paslaugos kompromisą, Plex Media Server spragų (vadinamų Plex2Shell) išnaudojimą ir aktyvius zero-day išpuolius kibernetinio saugumo programinėje įrangoje. Nors šie įvykiai tiesiogiai nesusiję, jų greita eiga atskleidžia didėjančią apsaugos komandų spaudimą, ypač kai DI paspartina tiek pažeidžiamumų atradimą, tiek jų išnaudojimą.

Šios dienos įvykiai pabrėžia skubų būtinumą išlikti budriems, greitai diegti pataisas ir tobulinti saugumo strategijas aplinkoje, kur DI įrankiai gali greitai sustiprinti grėsmes. Organizacijos raginamos pritaikyti visus galimus atnaujinimus ir griežtai laikytis programinės įrangos prižiūrėtojų bei saugumo institucijų nurodymų, siekiant apsaugoti pagrindinę infrastruktūrą.