Критические проблемы в интернет-безопасности
22 октября 2023 года были выявлены две опасные уязвимости, угрожающие безопасности в интернете. Первая касается языка программирования PHP, который широко применяется в популярных CMS, таких как WordPress, Drupal, MediaWiki и Symfony. Вторая связана с TLS-сертификатами, использующими слабо защищённое шифрование. Фонд PHP выпустил патч для устранения этих проблем ещё 21 октября 2023 года в 14:00 UTC (17:00 по киевскому времени). Оценка риска для уязвимости PHP достигла 9,2 из 10, она затрагивает все версии PHP, начиная с релиза 5, выпущенного в 2004 году.
Уязвимость в PHP позволяет злоумышленникам запускать произвольный код на веб-серверах, что ставит под угрозу работу множества онлайн-сервисов. Компания Sansec прогнозировала начало массовых атак уже через 15 минут после публикации технической информации. Кроме того, индийская фирма eMudhra выявила восемь TLS-сертификатов с критически короткими криптографическими ключами — от 3 до 8 бит вместо стандартных 384 бит. Эти сертификаты связаны с корневыми центрами сертификации, которым доверяют такие крупные игроки, как Mozilla, Microsoft, Apple и Google Chrome.
Возможные последствия и реакция отрасли
Эти скомпрометированные сертификаты признаются доверенными множеством браузеров, операционных систем, устройств интернета вещей и инфраструктурой Cloudflare. Mozilla, Google и Apple уже заблокировали их в своих браузерах, но некоторые приложения, например на macOS, продолжают им доверять. Дэннис Джексон из Mozilla предупредил, что определённые программы могут по-прежнему принимать эти сертификаты как надёжные.
Компания eMudhra отозвала все восемь уязвимых сертификатов, объяснив инцидент ошибкой в скрипте генерации ключей. Наибольшая угроза исходит для VPN-сервисов в странах с активным мониторингом интернет-трафика государственными структурами. Также риски затрагивают устаревшие серверы, устройства IoT и другие сетевые компоненты.
Филиппо Вальсорда отметил, что устранение последствий данного инцидента может оказаться более сложной задачей, чем ликвидация последствий уязвимости Heartbleed в 2014 году.
Данный инцидент подчёркивает важность регулярного обновления программного обеспечения и усиления мер безопасности в интернете. Уязвимость PHP способна серьёзно повлиять на безопасность веб-ресурсов и онлайн-платформ, а проблемы с TLS-сертификатами представляют угрозу для защиты пользовательских данных. Для минимизации рисков необходимы срочные действия со стороны разработчиков и системных администраторов, чтобы обезопасить пользователей от потенциальных атак.
Для российских пользователей это особенно актуально, учитывая широкое использование PHP в локальных и международных интернет-проектах, а также растущую популярность VPN для обхода блокировок и защиты личных данных. Важно своевременно внедрять обновления и следить за актуальностью сертификатов в используемом программном обеспечении.
В то время как исследуются новые уязвимости, важно также обратить внимание на другие недавние проблемы в области безопасности. Например, Apple устранила серьёзную уязвимость в своих операционных системах, которая могла угрожать данным пользователей. Это подчеркивает необходимость постоянного обновления программного обеспечения и внимательного отношения к безопасности в интернете.