АНУ-ын Кибер аюулгүй байдлын агентлаг (CISA) PHP вэб програм хангамжийн хоёр чухал сул талыг ашиглан халдлага гарч байгааг баталж, холбооны агентлагууддаа гурав хоногийн дотор засвар хийх үүрэг өглөө
Дэлхий даяар вэб серверүүдийн 70 орчим хувьд ашиглагддаг PHP програм хангамжийн дээрх хоёр эмзэг байдлыг засварлах шинэчлэлтийг хөгжүүлэгчид өнгөрсөн долоо хоногт гаргасан юм. Эдгээр сул тал нь халдагчдад нууц үг шаардахгүйгээр вэб системд алсаас нэвтрэх боломжийг олгодог тул маш эрсдэлтэй гэж үнэлэгдэж байна. Эмзэг байдлын ноцтой байдлаас шалтгаалан зарим засгийн газар болон томоохон компаниуд системээ хамгаалахын тулд вэбсайтуудаа түр хугацаанд унтраах арга хэмжээ авчээ.
“PHP2Shell” гэгдэх энэхүү эмзэг байдал нь олон жилийн турш илрээгүй байсан бөгөөд анх хоёр жилийн өмнө олдож байв. Тухайн үед уг програм хангамжийг хариуцдаг ашгийн бус сан үүнийг ашиглах бодит боломжгүй гэж үзэн засварлаагүй байсан ч энэ онд “Calif” судалгааны байгууллагын мэргэжилтнүүд хиймэл оюун ухааны загвар ашиглан уг сул талыг ашиглах аргыг илрүүлжээ. Энэ нь хиймэл оюун ухаан нь урьд өмнө илрээгүй эсвэл ач холбогдол багатайд тооцогдож байсан олон тооны сул талуудыг олж илрүүлэх, улмаар тэдгээрийг хослуулан ашиглах чадвартай болсныг харуулж байна.
CISA даваа гарагт гаргасан мэдэгдэлдээ халдлагыг хэн үйлдсэнийг тодорхойлоогүй боловч кибер аюулгүй байдлын судлаачид уг сул талыг ашиглаж буй бодит нотлох баримтуудыг олсон байна. Нээлттэй эх бүхий PHP төсөл нь санхүүжилт болон хүний нөөцийн дутагдалд олон жил орж ирсэн нь аюулгүй байдлын нарийвчилсан шалгалтыг цаг тухайд нь хийхэд хүндрэл учруулсаар иржээ. Одоогийн байдлаар идэвхтэй халдлага бүртгэгдсэн нь байгууллагуудыг мэдээллийн алдагдал, системийн доголдол зэргээс сэргийлэхийн тулд нэн даруй засвар хийхэд хүргэж байна.
Дэлгэрэнгүйг эх сурвалжаас харах
↓Эх сурвалжийг нээх ↓
U.S. cybersecurity agency CISA has confirmed that hackers are now actively exploiting a pair of critical security vulnerabilities in the widely used PHP web software and has ordered civilian federal agencies within the U.S. government to fix their systems within the next three days.
The urgent new warning to patch comes less than a week after the makers of the decades-old PHP web programming language rolled out patches for the two bugs, which allow hackers to remotely break into a vulnerable system over the internet without the need for passwords. The PHP software is reportedly used by some 70% of web-facing servers, putting major websites and applications at risk. The severity of the bugs prompted some governments and big companies to take their sites offline to fix them.
While the bugs are rated critical, meaning they can be highly damaging if exploited, security researchers said that developing a working exploit to hack into vulnerable systems was initially challenging — but not impossible. Confirmed in-the-wild exploitation now puts extra pressure on organizations to patch their systems to prevent malicious compromises, disruption, and data breaches.
CISA did not provide details about who was exploiting the bugs in its Monday statement, but its statement comes soon after security researchers said they found evidence that the PHP bugs were being exploited.
The bugs, known as PHP2Shell, exploit vulnerabilities in the software that went undiscovered for years. The bugs were initially uncovered two years ago but the nonprofit foundation that maintains the software said there was no practical way for hackers to exploit them, leaving the bugs unpatched. That was until earlier this year, when researchers at security research firm Calif uncovered a way to exploit the two dormant vulnerabilities with the assistance of an AI model.
The two bugs in PHP are among countless vulnerabilities that have not yet been discovered or have been deprioritized for years but now pose a risk due to advances in AI models’ ability to find and exploit vulnerabilities, including by chaining multiple flaws together.
PHP is one of many aging web technologies that help keep the internet and modern technologies running, but that have been under-resourced and under-funded for years, making it difficult for open-source projects like PHP to pay for security reviews that might have uncovered flaws sooner.
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.
