Центр ФСБ отреагировал на выявленную ИИ уязвимость сайтов
Центр кибербезопасности при ФСБ предписал критической инфраструктуре временно отключать сайты, если обновить PHP быстро невозможно. Поводом стали критические уязвимости в PHP, из-за которых сайты массово отключали по всему миру
Национальный координационный центр по компьютерным инцидентам (НКЦКИ, действует при ФСБ) предписал объектам критической информационной инфраструктуры (сети связи и информационные системы госорганов, финансовых, энергетических, транспортных, медицинских и ряда др. компаний) временно отключать свои сайты, если они не успевают обновить программное обеспечение из-за уязвимостей в PHP.
Такое указание содержится в письме, направленным 22 октября НКЦКИ в адрес владельцев объектов, относящихся к критической информационной инфраструктуре (копия есть у РБК, ее подлинность подтвердили три организации-получателя).
Директива разослана через ГосСОПКУ — госсистему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы. Ее координацию ведет НКЦКИ, все объекты критической инфраструктуры обязаны взаимодействовать с ФСБ через НКЦКИ и ГосСОПКУ по вопросам кибербезопасности.
НКЦКИ в письме предписал обновить PHP до исправленной версии, а после — проверить серверы антивирусом и изучить журналы на следы взлома. Если обновить систему быстро невозможно, организации должны «рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам вплоть до их отключения». О подозрительных инцидентах предписано сообщать в дежурный центр ГосСОПКА.
С чем связано требование
Причиной требования НКЦКИ стали две критические уязвимости в языке программирования PHP, найденные искусственным интеллектом (ИИ). Они позволяют злоумышленнику удаленно получить контроль над сайтом, даже не зная пароля, а также взломать сервер и «вытащить» из его памяти пароли, ключи и другие секретные данные. Эти уязвимости относятся к максимальной степени опасности (9,2 балла из 10). 21 октября разработчики PHP выпустили экстренное обновление, закрывшее обе уязвимости.
По данным аналитического портала W3Techs, на PHP работают 90,8% сайтов с контентом на русском языке, а всего в мире — 69,3%. Среди них — Wikipedia, Flickr, Tumblr, Slack, MailChimp, Facebook (принадлежит Meta, компания признана экстремистской и запрещена в России) и др.
На проблему отреагировали власти и специалисты по кибербезопасности разных стран, они призвали владельцев сайтов на PHP загрузить обновления, а при невозможности сделать это быстро — временно отключить сайты. С такими рекомендациями выступили, в частности, Агентство национальной безопасности США и премьер-министр Японии Санаэ Такаити. Свои государственные веб-сервисы временно закрыли Финляндия и Чехия, МИД Бельгии и Минфин Японии, превентивно отключили сайты также префектуры Франции, порт Роттердама, футбольная ассоциация Нидерландов (KNVB), пять крупнейших партий и несколько больниц страны. Часть систем на время устранения уязвимостей закрыла и Wikimedia, управляющая Wikipedia. Гендиректор Cloudflare Мэттью Принс сообщал, что уязвимости PHP «пытались эксплуатировать миллионы раз» после публичного заявления об ошибках в коде.
В России первым начал реагировать бизнес: хостинг-провайдеры начали уведомлять клиентов, а «Лаборатория Касперского» и «1С-Битрикс» выпустили рекомендации. Бизнес-партнер по инновационному развитию компании «Гарда», технический директор «Гарда WAF» Лука Сафонов говорил РБК, что уязвим сам язык PHP, а не конкретные программы, — обновление WordPress, Drupal или Joomla проблему не решат. «В России огромное количество сайтов написаны на PHP, поэтому уязвимость могла затронуть десятки, а то и сотни тысяч ресурсов Рунета», — отмечал Сафонов. По его мнению, из-за найденных уязвимостей можно ожидать серьезной волны атак в ближайшее время.