Nyderlandų kibernetinio saugumo centras tiria pirmuosius sėkmingų PHP įsilaužimų požymius

Nyderlandų nacionalinis kibernetinio saugumo centras (NCSC) tiria pirmuosius sėkmingų įsilaužimų, susijusių su dviem kritinėmis PHP programavimo kalbos spragomis, požymius. Pasak DutchNews, centras įspėjo, kad situacija gali „sparčiai blogėti“. Signalai gauti iš tarptautinio agentūros tinklo. Agentūra vis dar tikrina pranešimų tikslumą ir kol kas nematė jokių piktnaudžiavimo atvejų Nyderlandų svetainėse.dutchnews.nl

Šios dvi spragos kartu vadinamos „PHP2Shell“ ir yra stebimos kaip CVE-2026-109618 bei CVE-2026-109619. Jos leidžia užpuolikui vykdyti kodą serveryje neprisijungus. Abi spragos įvertintos 9,2 balo iš 10 pagal pavojingumą. PHP spalio 21 d. išleido pataisytas versijas 8.5.12, 8.4.27, 8.3.36 ir 8.2.35. 8.1 ir senesnės versijos nebegauja atnaujinimų ir lieka pažeidžiamos.yahoo.com

Svetainės atjungtos nuo tinklo

Daugelis vyriausybės, sveikatos priežiūros ir naujienų svetainių buvo išjungtos laukiant pataisų. Nyderlandai pirmi ėmėsi veiksmų trečiadienį, spalio 21 d., o paskui juos sekė Belgija, Vokietija, Prancūzija ir Suomija. „Wikipedia“ išjungė dalį savo svetainės. JK Biudžeto atsakomybės biuras taip pat buvo atjungtas po to, kai JK NCSC patarė sistemas, kurių negalima nedelsiant sutaisyti, išjungti. JK ministras teigė, kad remonto darbų metu 32 vyriausybės paslaugos buvo nepasiekiamos. Dauningo gatvė pareiškė, kad „tai nereiškia, jog į jas buvo įsilaužta“. Olly Whitehouse, JK NCSC technologijų vadovas, sakė, kad problema bus „jaučiama visuotinai“. Jis taip pat pridūrė, kad kol kas nėra jokių duomenų apie pažeidimus.yahoo.com+2

Milijonai atakų bandymų

„Cloudflare“ ↗ 7.29% generalinis direktorius Matthew Prince'as sakė, kad bendrovė per 10 valandų iki pranešimo apie spragas užfiksavo „tūkstančius“ bandymų jas išnaudoti. „Po pranešimo skaičius šoktelėjo iki dešimčių tūkstančių per 45 minutes, šimtų tūkstančių per dvi valandas, o dabar siekia milijonus“, – sakė jis. „Amazon“ ↘ 0.95% aptiko bandymą išnaudoti spragą vienoje iš savo masalinių sistemų spalio 17 d., likus keturioms dienoms iki spragų paviešinimo. Informacija apie klaidas internete nutekėjo spalio 20 d., prieš planuotą atskleidimą, todėl PHP paankstino pataisų išleidimą. Nyderlandų duomenų apsaugos priežiūros institucija pranešė negavusi jokių pranešimų apie duomenų nutekėjimą.bbc.com+3

DI vaidmuo aptinkant spragas

Ryanas Austinas, saugumo įmonės „Calif“ tyrėjas, rugpjūčio mėnesį aptiko šias spragas naudodamas „OpenAI“ modelį, pranešė „The Wall Street Journal“. Austinas pavadino tai „rimčiausia spraga, kokią tik esu radęs“, teigdamas, kad viskas „prasidėjo nuo nuojautos, kurios nebūčiau galėjęs patikrinti be DI“. „Calif“, „Wiz“, „OpenAI“ ir „Quarkslab“ kartu atskleidė klaidas, kurios paveikia PHP 5.4 ir vėlesnes versijas. „Wiz“ apskaičiavo, kad „maždaug 70%“ interneto yra paveikta – šio skaičiaus BBC teigė negalinti patikrinti.blog.cloudflare.com+2

„Amazon“ saugumo vadovas CJ Mosesas įspėjo, kad DI reiškia, jog „daugiau veikėjų gali imtis veiksmų per kelias valandas ar net minutes, kai tik paviešinamos techninės spragos detalės“.bbc.com