Сектор веб-безопасности переживает состояние повышенной готовности после обнаружения двух серьезных уязвимостей, угрожающих стабильности миллионов веб-сайтов и систем связи по всему миру. Эксперты по кибербезопасности предупреждают о возможности масштабных атак, которые потребуют огромных усилий по очистке и техническому обслуживанию.
Детали опасной уязвимости в PHP
Первая проблема связана с критической программной уязвимостью в языке программирования PHP, которая напрямую затрагивает популярные системы управления контентом, такие как WordPress и Drupal. Фонд PHP (PHP Foundation) объявил о выпуске патчей безопасности для устранения двух уязвимостей, оцененных как имеющие высокий уровень опасности — 9,2 балла из 10, и призвал пользователей немедленно подготовиться к обновлениям.
Эти превентивные обновления появились после публикации видеоролика, демонстрирующего инструмент под названием PHP2Shell, который выполняет вредоносный код на веб-серверах, включая последние версии WordPress, MediaWiki, Symfony и Drupal. Компания по кибербезопасности watchTowr подтвердила наличие уязвимости, которая затрагивает все версии PHP, начиная с пятой версии, выпущенной в 2004 году, что позволяет злоумышленникам выполнять собственный код и потенциально брать под контроль уязвимые серверы.
Уязвимость цифровых сертификатов шифрования TLS
В то же время интернет-инфраструктура сталкивается с еще одним кризисом, касающимся сертификатов цифрового шифрования (TLS). Индийская компания eMudhra объявила о компрометации восьми своих промежуточных сертификатов Центра сертификации (Intermediate CA), которые связаны с доверенными корневыми сертификатами, используемыми основными браузерами, такими как Mozilla, Microsoft, Apple и Chrome.
Главная опасность заключается в том, что закрытые ключи шифрования скомпрометированных сертификатов оказались крайне слабыми — их размер составляет всего от 3 до 8 бит вместо стандартных 384 бит. Такие слабые ключи позволяют злоумышленникам восстанавливать данные путем перебора очень малого количества комбинаций, что дает им возможность подделывать доменные сертификаты, выдавать себя за легитимные серверы и перехватывать трафик.
Что меняется на практике для пользователей и веб-мастеров?
- Экстренные меры: Веб-мастера и администраторы систем управления контентом поспешили незамедлительно применить обновления программного обеспечения, что может привести к временному простою некоторых сайтов на базе PHP во время проведения технических работ.
- Действия разработчиков браузеров: компании Mozilla, Google и Apple заблокировали скомпрометированные сертификаты в своих браузерах, однако эксперты по безопасности предупреждают, что некоторые инструменты операционной системы macOS продолжают доверять этим сертификатам из-за отсутствия немедленной проверки информации об их отзыве.
- Масштаб ожидаемых рисков: Криптографические инженеры охарактеризовали этот кризис как потенциально требующий масштабных работ по очистке, которые по своим объемам могут превзойти знаменитую уязвимость Heartbleed, появившуюся в 2014 году. В настоящее время наибольшие риски сосредоточены на корпоративных VPN-шлюзах и устройствах интернета вещей (IoT).