Чеський доброволець Ондржей Сурі сам підготував готові до встановлення пакети з виправленням двох серйозних вразливостей у PHP. Цією мовою працюють майже 7 з 10 активних сайтів у світі.

Вразливість назвали php2shell. Через неї зловмисник може віддалено запускати шкідливі команди й повністю захопити сервер. У коді вона лишалася непоміченою 14 років. За словами Сурі, це одна з найнебезпечніших вразливостей за останні десятиліття.

PHP — мова з відкритим кодом і одна з основ інтернету. Обидві вразливості знайшли під час технічного розслідування з новими моделями штучного інтелекту від OpenAI. Співпраця OpenAI і Фонду PHP тривала два місяці. Президент OpenAI Грег Брокман визнав, що вона була надто повільною й ручною для темпу алгоритмів.

Фонд PHP — неприбуткова організація, яка керує розвитком мови. Вона написала код виправлення. Але його треба зібрати, убезпечити й перетворити на пакети для встановлення. Без цього адміністратори не можуть ним користуватися. Цю роботу взяв на себе Сурі. Він виконує її безкоштовно, з невеликою групою добровольців.

Сурі також очолює відділ DNS-інженерії в Internet Systems Consortium. Разом із колегою Ремі Герцогом він підтримує старі версії PHP, офіційну підтримку яких давно припинили.

Уряди, великі корпорації й адміністратори мереж отримали заклик негайно встановити виправлення або повністю ізолювати свої сервери. Тисячі сайтів у Європі та світі тимчасово вимкнули, щоб не витекли дані.

В Amazon повідомили, що зафіксували схожі автоматизовані атаки за кілька днів до того, як офіційне виправлення було готове. Гендиректор Cloudflare Метью Прінс сказав, що до публікації виправлення в мережі компанії було кілька тисяч спроб атак. Упродовж перших 45 хвилин після неї їх стало десятки тисяч, за дві години — сотні тисяч, а далі — кілька мільйонів на день.

За словами Сурі, ситуація стає критичною, коли подробиці виправлення публікують. Тоді злочинці з великими мовними моделями вивчають виправлений код і швидко пишуть шкідливі програми.

Міжнародні біржі подешевшали через невизначеність. Акції компаній із кібербезпеки Cloudflare, Okta, Datadog і CrowdStrike подорожчали до 7,5% за одну біржову сесію. Ринки чекають різкого зростання інвестицій у кіберзахист у світі.

Американський журналіст Чарлі Уорзел назвав Сурі непомітним героєм, який урятував інтернет. У соцмережах поширилася думка, що стабільність світової мережі залежить від сумлінності однієї людини. Сурі відкинув слово «герой». За його словами, його робота — перетворити складний технічний код на такий вигляд, який зручний звичайним користувачам. На запитання, коли безпека буде повною, він відповів: ніколи.

За його словами, великі організації вже захистилися. Проте багато фірм і людей не знають, що на їхніх пристроях є PHP. Мільйони малих серверів ніколи не отримають виправлень і залишаться вразливими на невизначений час. Так само, як домашні роутери й розумні пристрої, які роками не оновлюють.

Сурі звинувачує технологічних гігантів, чиї статки сягають сотень мільярдів доларів, у тому, що вони багатіють на праці розробників. Ці розробники безкоштовно підтримують цифрові системи. Сурі називає експлуатацією те, що їхня добровільна праця приносить величезні прибутки, а спільнота не отримує реальних ресурсів. У спільноті відкритого коду є моральне невдоволення.

За словами Сурі, корпорації не можуть ховатися за автономністю програм, коли вони завдають шкоди. Якщо цифровий агент помилиться або його підштовхнуть до атаки, вина повністю на тих, хто запустив його без суворих заходів безпеки.

Лідери Силіконової долини хочуть вбудувати штучний інтелект у системи захисту, які зупиняють атаки заздалегідь. Вони також пропонують, щоб держава втручалася й віддалено примусово оновлювала незахищені сервери.