PHP saugumo spragos išnaudotos dienomis prieš oficialų pataisymą

Vaizdas: The disastrous PHP vulnerabilities were exploited days before the patch · Šaltinis

Kritinės PHP saugumo spragos buvo išnaudotos įsilaužėlių dienomis prieš oficialų pataisymą, atskleidė Amazon Threat Intelligence. PHP fondas pabrėžia neatidėliotiną atnaujinimų poreikį, nors nėra patvirtintų sėkmingų atakų.

Dvi kritinės saugumo spragos, paveikiančios PHP – plačiai naudojamą interneto programavimo kalbą, buvo išnaudotos įsilaužėlių kelias dienas prieš oficialaus pataisymo išleidimą, nurodo Amazon Threat Intelligence ataskaita. Šios spragos, žinomos kaip CVE-2026-109618 ir CVE-2026-109619, galėjo leisti vykdyti nuotolinį kodą paveiktose sistemose, keliančios didelį pavojų svetainėms, įskaitant WordPress veikiančias.

Spalio 17 dieną, prieš viešą atskleidimą ar pataisymo galimybę, Amazon saugumo komanda aptiko bandymus išnaudoti šias spragas per specialiai sukurtą medaus puodą (honeypot) stebėjimo sistemą. Veikla kilo iš anonimizuotų IP adresų, rodančių galimus kenkėjiškus veikėjus, turėjusius žinių apie spragas iki išplatinimo. Papildomi išnaudojimų bandymai buvo užfiksuoti spalio 21 dieną, vos valandomis prieš pataisymo diegimą.

PHP fondas spragas nustatė 2024 metais ir parengė galimus pataisymus. Tačiau pataisymai buvo atidėti dėl baimių dėl suderinamumo su ankstesnėmis versijomis pažeidimų, paslaugų nutraukimo rizikos ir sunkumų koordinuojant pakeitimus daugybėje trečiųjų šalių įskiepių. Šis sudėtingas sprendimų balansas atidėjo problemos sprendimą, nepaisant klaidų kritiškumo.

Elizabeth Barron, PHP fondo vykdomoji direktorė, patvirtino, kad iki šiol nėra patvirtintų sėkmingų nuotolinio kodo vykdymo atvejų, bet ragino vartotojus nedelsti ir atnaujinti sistemas. Fondas pripažino būtinybę gerinti pažeidžiamumo valdymą ir įsipareigojo ateityje greičiau spręsti panašaus sudėtingumo klausimus, įtraukiant vadovybę tiesiogiai siekiant laiku priimti sprendimus.

Šis incidentas pabrėžia pagrindinių interneto technologijų apsaugos iššūkius, kai pataisymai turi būti kruopščiai parengti ir koordinuoti, siekiant išvengti trikdžių, tuo metu kai užpuolikai aktyviai ieško galimybių išnaudoti bet kokį atsivėrusį saugumo plyšį. Svetainių administratoriai ir programuotojai griežtai raginami nedelsti ir kuo skubiau įsidiegti išleistus pataisymus, kad sumažintų galimus pavojus.