Чешский волонтёр Ондржей Сури сам подготовил готовые к установке пакеты с исправлением двух серьёзных уязвимостей в PHP. На этом языке работают почти 7 из 10 активных сайтов в мире.
Брешь получила название php2shell. Она позволяет злоумышленнику удалённо запускать вредоносные команды и полностью захватывать сервер. Эта уязвимость 14 лет оставалась незамеченной в коде. По словам Сури, она входит в число самых опасных за последние десятилетия.
PHP — язык с открытым кодом, на нём держится заметная часть интернета. Обе уязвимости нашли во время технического расследования с помощью новых моделей искусственного интеллекта OpenAI. OpenAI и Фонд PHP работали вместе два месяца. Президент OpenAI Грег Брокман признал, что для темпа работы алгоритмов это было слишком медленно и слишком вручную.
Фонд PHP — некоммерческая организация, которая руководит развитием языка. Исправление написали его сотрудники. Но код нужно скомпилировать, обезопасить и собрать в пакеты для установки, иначе администраторы не смогут им пользоваться. Эту работу взял на себя Сури — полностью на добровольных началах, вместе с небольшой группой волонтёров.
Сури также руководит отделом DNS-инжиниринга в Internet Systems Consortium. Вместе с коллегой Реми Херцогом он поддерживает и старые версии PHP, официальную поддержку которых давно прекратили.
Правительства, крупные корпорации и администраторов сетей призвали срочно установить исправления или полностью изолировать свои серверы. Тысячи порталов в Европе и в мире временно отключили, чтобы не допустить утечки данных.
В Amazon сообщили, что зафиксировали похожие автоматические атаки за несколько дней до того, как было готово официальное исправление. По словам исполнительного директора Cloudflare Мэтью Принса, до публикации исправления в сети компании были несколько тысяч попыток атак. В первые 45 минут после неё их стало десятки тысяч, за два часа — сотни тысяч, а потом число выросло до нескольких миллионов в день.
По словам Сури, ситуация становится критической, когда подробности об исправлении публикуют. Тогда преступники с помощью больших языковых моделей изучают исправленный код и быстро пишут вредоносные программы.
Из-за неопределённости международные биржи подешевели. Акции компаний в сфере кибербезопасности Cloudflare, Okta, Datadog и CrowdStrike за одну торговую сессию подорожали до 7,5%. Рынки ждут резкого роста инвестиций в киберзащиту по всему миру.
Американский журналист Чарли Уорзел назвал Сури незаметным героем, который спас интернет. В соцсетях распространилось мнение, что стабильность мировой сети зависит от добросовестности одного человека. Сам Сури слово «герой» отверг. По его словам, его работа — превратить сложный технический код в вид, удобный для обычных пользователей. На вопрос, когда безопасность будет полной, он ответил: никогда.
По словам Сури, крупные организации уже защитились, но многие компании и люди не знают, что на их устройствах есть PHP. Миллионы небольших серверов никогда не получат исправлений и останутся уязвимыми неопределённо долго. Так же будет с домашними роутерами и умными устройствами, которые годами не обновляют.
Сури обвиняет технологических гигантов, чьи состояния исчисляются сотнями миллиардов долларов, в том, что они богатеют на труде разработчиков, которые бесплатно поддерживают цифровую инфраструктуру. Эксплуатацией он называет то, что их добровольный труд приносит огромные прибыли, а сообществу не возвращаются реальные ресурсы. В сообществе открытого кода есть моральное недовольство.
По мнению Сури, корпорации не могут прятаться за самостоятельностью программ, когда те наносят ущерб. Если цифровой агент ошибётся или его обманом заставят атаковать, вина целиком лежит на тех, кто запустил его без строгих мер защиты.
Лидеры Кремниевой долины хотят встроить искусственный интеллект в системы защиты, которые останавливают атаки заранее. Они также предлагают, чтобы государство вмешалось и принудительно обновляло незащищённые серверы удалённо.