Критични пропуски в PHP излагат на риск близо 70% от уебсайтовете

Уязвимостта е свързана с широко използвания протокол PHP

Правителствата и компаниите по целия свят се борят да отстранят две спешни уязвимости в киберсигурността на език за програмиране, на който работи около 70% от интернет. Проблемите бяха открити в езика за програмиране PHP, като в сряда следобед беше пуснат пач за отстраняването им, пише The Telegraph.

Говорител на британското правителство призова „всички организации – частни и публични, големи и малки“ – спешно да следват съветите за защита на системите си.

Няколко правителства, университети, компании и местни власти, включително във Великобритания, затвориха сайтовете си, докато се опитват да отстранят проблема. Експерти по сигурността заявиха, че уязвимостите излагат уебсайтовете и потребителите на риск от хакерска атака от престъпници, като призоваха собствениците да затворят сайтовете си.

Общинските съвети в Единбург, Оксфорд и Бристол бяха сред тези, които изключиха своите сайтове.

Френското министерство на вътрешните работи, финландското правителство, холандският парламент и няколко европейски университета също изключиха сайтовете си, както и прочутият анонимен форум 4chan и редица социални мрежи и бизнес услуги.

Пристанището в Ротердам, най-големият транспортен център в Европа, също изключи уебсайта си в сряда.

Уязвимостта е свързана с широко използвания протокол PHP, който позволява на уебсайтовете да извличат информация от бази данни.

В сряда стана ясно, че уязвимостта, която съществува от десетилетие, е била открита с помощта на инструменти за изкуствен интелект от OpenAI – създателя на ChatGPT – и Google. Компанията за киберсигурност Wiz заяви, че е използвала GPT-5.6 Sol на OpenAI и Gemini 4 Argon на Google, за да открие уязвимостите. Напредъкът в изкуствения интелект доведе до предупреждения за кошмар в киберсигурността, тъй като инструментите се използват за откриване на уязвимости, които след това могат да бъдат експлоатирани от хакери.

Според нея пропускът е бил открит през август. Белият дом съобщи, че е бил уведомен миналата седмица. В сряда Агенцията за национална сигурност на САЩ призова организациите да изключат уебсайтовете си, ако не могат незабавно да отстранят две сериозни уязвимости в PHP – език за програмиране, на който се базира голяма част от уебсайтовете в света.

Уязвимостите „често осигуряват пряк достъп до файловата система или базата данни на сървъра“, заяви агенцията в изявление, публикувано в X.

Холандската агенция за киберсигурност също беше изключена от мрежата, като се появи съобщение: 

„Поради уязвимости в PHP временно сме изключили уебсайта си (NCSC.NL) от мрежата като предпазна мярка.“

Фондацията, стояща зад софтуера PHP, разкри във вторник наличието на две „критични уязвимости“. В сряда тя пусна спешни нови поправки и призова всички потребители „да актуализират незабавно“.

Националният център за киберсигурност (NCSC), подразделение на GCHQ, призова собствениците на уебсайтове да изключат системите си, ако не са в състояние да реагират незабавно на проблема.

Това последва предупреждение от Екипа за реагиране при компютърни инциденти на Европейския съюз (CERT-EU), че уязвимостите биха могли да позволят на хакерите да изпълняват злонамерен код на уязвимите системи, без да се регистрират.

Агенциите за киберсигурност в Австралия и Япония отправиха подобни предупреждения, призовавайки потребителите на PHP да изключат уебсайтовете си, докато уязвимостите не бъдат отстранени.

Санае Такаичи, министър-председателката на Япония, отправи „спешен“ призив в X към организациите да актуализират уебсайтовете си или да ги изключат.

Дейн Кнехт, главен технологичен директор на компанията за сигурност Cloudflare, заяви, че компанията вече наблюдава експлоатиране на уязвимостите от хакери.

„Наблюдаваме появата на първите атаки и актуализираме мерките за ограничаване на риска, когато се появяват нови вектори“, написа той в X.

Какво е PHP и колко широко се използва?

PHP е програмен език, който работи в основата на уебсайтовете. Той изпълнява задачи във фонов режим, без потребителите обикновено да взаимодействат директно с него.

Когато някой отвори уебстраница, сървърът, на който работи PHP, обработва необходимата информация, сглобява съдържанието и изпраща готовата страница към браузъра.

Технологията е безплатна, с отворен код и се поддържа от доброволци. Собствениците на сайтове рядко работят непосредствено с нея, въпреки че тя може да е ключова за функционирането на техните платформи.

Според анализатора на уебтехнологии W3Techs PHP се използва от близо 70% от всички уебсайтове, чийто програмен език може да бъде установен.

Езикът е в основата и на WordPress – софтуер, който захранва около 40% от всички уебсайтове. Сред тях са блогове, страници на малки компании, правителствени портали, онлайн магазини и новинарски издания.

Хакерът може да получи пряк достъп

PHP представлява връзката между уебсайтовете, достъпни за широката публика, и частните бази данни, в които се съхранява информацията за потребителите и други подробности.

Пропуск в протокола може да позволи на хакерите да получат пряк достъп до тези бази данни, което потенциално би им дало възможност да откраднат данни.

„NCSC насърчава организациите във Великобритания да се подготвят за незабавно актуализиране на системите, използващи PHP. Когато незабавното отстраняване на проблема не е възможно, организациите трябва да обмислят изключването на системата от мрежата, докато не бъде напълно отстранена уязвимостта“, написа киберагенцията.

Тя посочи, че компаниите трябва да наблюдават своите PHP системи и да прилагат актуализациите възможно най-скоро.

Фондация „Уикимедия“, която управлява онлайн енциклопедията „Уикипедия“, заяви, че е в процес на отстраняване на уязвимостите в езика за програмиране PHP.

Джейк Мур от компанията за киберсигурност ESET заяви: 

„Самият мащаб на използването на PHP в интернет прави този проблем далеч по-сериозен от обичайните експлойти.

„Сериозна уязвимост в технологията, използвана от милиони уебсайтове, може незабавно да предостави на киберпрестъпниците огромен брой потенциални цели.

„Известно е, че престъпниците изключително бързо се възползват от всяка възможност и дори кратко забавяне при инсталирането на кръпки може да остави много фирми незащитени.“

PHP е създаден от Расмус Лердорф, датско-канадски програмист, през 1993 г., но днес се управлява от фондация, състояща се от компании, които използват системата.