Специалисты по кибербезопасности обнаружили две серьезные уязвимости, которые могут привести к масштабным кибератакам. Одна из них касается PHP, используемого в WordPress и Drupal, а другая — TLS-сертификатов со слабым шифрованием.
Об этом пишет издание Engadget.
Первая проблема связана с языком программирования PHP, на котором работают многие сайты и системы управления контентом, в частности WordPress, Drupal и MediaWiki. Фонд PHP сообщил о подготовке исправлений для двух критических уязвимостей, каждая из которых получила оценку 9,2 балла из 10 по уровню опасности.
Выпуск обновлений состоялся 21 октября в 14:00 по всемирному координированному времени (17:00 по киевскому времени).
Компания watchTowr сообщила о подтверждении наличия проблемы, которая, по ее данным, может затрагивать все версии PHP, начиная с PHP 5, выпущенной в 2004 году. Исследователи также продемонстрировали работу инструмента PHP2Shell, способного выполнять код на веб-серверах, в частности на тех, которые используют WordPress, MediaWiki, Symfony и Drupal.
Если злоумышленники смогут воспользоваться этой уязвимостью,
они потенциально получат возможность запускать собственный код на сервере и устанавливать над ним контроль. Компания Sansec ожидала, что массовые атаки могут начаться уже через 15 минут после публикации технических подробностей. Из-за срочной установки обновлений некоторые сайты на PHP могут временно прекратить работу.
Вторая проблема касается TLS-сертификатов, которые помогают подтверждать подлинность сайтов и защищать передачу данных. Индийская компания eMudhra сообщила о компрометации восьми промежуточных сертификатов удостоверяющего центра. Они были связаны с корневыми сертификатами, которым доверяют Mozilla, Microsoft, Apple и Google Chrome.
Причиной угрозы стали чрезвычайно слабые криптографические ключи. По данным Hacker News и других изданий, их длина составляла от 3 до 8 бит вместо типичных для данного случая 384 бит. Из-за этого злоумышленник мог бы подобрать ключи, перебрав всего 256 возможных значений.
Используя такие ключи, злоумышленники потенциально могли бы подделывать сертификаты сайтов и приложений, выдавать себя за легитимные серверы и перехватывать интернет-трафик.
Скомпрометированным сертификатам доверяли браузеры, операционные системы, устройства интернета вещей и другие системы, в частности инфраструктура Cloudflare.
Mozilla, Google и Apple уже заблокировали скомпрометированные сертификаты в своих браузерах. Сама компания eMudhra отозвала все восемь сертификатов и объяснила проблему ошибкой в скрипте, использовавшемся для их создания.
В то же время специалист по безопасности Mozilla Деннис Джексон предупредил, что некоторые программы для macOS могут продолжать доверять этим сертификатам, если не проверяют информацию об их отзыве. Подобная проблема может затрагивать и другие клиентские приложения.
В настоящее время наибольшие риски связаны с VPN-сервисами, особенно в странах, где государственные структуры активно пытаются перехватывать интернет-трафик. Угроза также может затрагивать устройства интернета вещей, устаревшие серверы и другие элементы сетевой инфраструктуры.
Инженер-криптограф Филиппо Вальсорда заявил изданию Ars Technica, что устранение последствий может потребовать масштабной работы — даже более сложной, чем ликвидация последствий Heartbleed, известной уязвимости TLS, обнаруженной в 2014 году.
Читайте также:
- Тихий взлом. Хакеры атаковали пользователей Google Pixel через ранее неизвестную уязвимость
- Уязвимости в системах. ИИ-агенты помогли одному хакеру взломать более 100 сайтов
- Очередная брешь в защите. Хакеры взломали консоль OpenCode и «накрутили» пользователям счета за использование ИИ
