Обнаружены критические уязвимости в PHP и TLS-сертификатах: угрозы для VPN и IoT-сетей, обновления уже доступны

Критические проблемы в интернет-безопасности

Как сообщает НВ — Техно: 22 октября 2023 года были выявлены две опасные уязвимости, угрожающие безопасности в интернете. Первая касается языка программирования PHP, который широко применяется в популярных CMS, таких как WordPress, Drupal, MediaWiki и Symfony. Вторая связана с TLS-сертификатами, использующими слабо защищённое шифрование. Фонд PHP выпустил патч для устранения этих проблем ещё 21 октября 2023 года в 14:00 UTC (17:00 по киевскому времени). Оценка риска для уязвимости PHP достигла 9,2 из 10, она затрагивает все версии PHP, начиная с релиза 5, выпущенного в 2004 году.

Уязвимость в PHP позволяет злоумышленникам запускать произвольный код на веб-серверах, что ставит под угрозу работу множества онлайн-сервисов. Компания Sansec прогнозировала начало массовых атак уже через 15 минут после публикации технической информации. Кроме того, индийская фирма eMudhra выявила восемь TLS-сертификатов с критически короткими криптографическими ключами - от 3 до 8 бит вместо стандартных 384 бит. Эти сертификаты связаны с корневыми центрами сертификации, которым доверяют такие крупные игроки, как Mozilla, Microsoft, Apple и Google Chrome.

Возможные последствия и реакция отрасли

Эти скомпрометированные сертификаты признаются доверенными множеством браузеров, операционных систем, устройств интернета вещей и инфраструктурой Cloudflare. Mozilla, Google и Apple уже заблокировали их в своих браузерах, но некоторые приложения, например на macOS, продолжают им доверять. Дэннис Джексон из Mozilla предупредил, что определённые программы могут по-прежнему принимать эти сертификаты как надёжные.

Компания eMudhra отозвала все восемь уязвимых сертификатов, объяснив инцидент ошибкой в скрипте генерации ключей. Наибольшая угроза исходит для VPN-сервисов в странах с активным мониторингом интернет-трафика государственными структурами. Также риски затрагивают устаревшие серверы, устройства IoT и другие сетевые компоненты.

Филиппо Вальсорда отметил, что устранение последствий данного инцидента может оказаться более сложной задачей, чем ликвидация последствий уязвимости Heartbleed в 2014 году.

Данный инцидент подчёркивает важность регулярного обновления программного обеспечения и усиления мер безопасности в интернете. Уязвимость PHP способна серьёзно повлиять на безопасность веб-ресурсов и онлайн-платформ, а проблемы с TLS-сертификатами представляют угрозу для защиты пользовательских данных. Для минимизации рисков необходимы срочные действия со стороны разработчиков и системных администраторов, чтобы обезопасить пользователей от потенциальных атак.

Для российских пользователей это особенно актуально, учитывая широкое использование PHP в локальных и международных интернет-проектах, а также растущую популярность VPN для обхода блокировок и защиты личных данных. Важно своевременно внедрять обновления и следить за актуальностью сертификатов в используемом программном обеспечении.

В то время как исследуются новые уязвимости, важно также обратить внимание на другие недавние проблемы в области безопасности. Например, Apple устранила серьёзную уязвимость в своих операционных системах, которая могла угрожать данным пользователей. Это подчеркивает необходимость постоянного обновления программного обеспечения и внимательного отношения к безопасности в интернете.