Центр ФСБ отреагировал на выявленную ИИ уязвимость сайтов

Национальный координационный центр по компьютерным инцидентам (НКЦКИ, действует при ФСБ) предписал объектам критической информационной инфраструктуры — сетям связи и информационным системам госорганов, финансовых, энергетических, транспортных, медицинских и ряда других компаний — временно отключать свои сайты, если они не успевают обновить программное обеспечение из-за уязвимостей в PHP. Указание содержится в письме, направленном 22 октября владельцам объектов критической информационной инфраструктуры; копия есть у РБК, ее подлинность подтвердили три организации-получателя.

Директива разослана через ГосСОПКУ — госсистему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы. Ее координацию ведет НКЦКИ, все объекты критической инфраструктуры обязаны взаимодействовать с ФСБ через НКЦКИ и ГосСОПКУ по вопросам кибербезопасности. В письме предписано обновить PHP до исправленной версии, после чего проверить серверы антивирусом и изучить журналы на следы взлома. Если обновить систему быстро невозможно, организации должны «рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам вплоть до их отключения». О подозрительных инцидентах предписано сообщать в дежурный центр ГосСОПКИ.

Причиной требования стали две критические уязвимости в языке программирования PHP, найденные искусственным интеллектом. Они позволяют злоумышленнику удаленно получить контроль над сайтом, даже не зная пароля, а также взломать сервер и «вытащить» из его памяти пароли, ключи и другие секретные данные. Уязвимости относятся к максимальной степени опасности — 9,2 балла из 10. 21 октября разработчики PHP выпустили экстренное обновление, закрывшее обе уязвимости. По данным аналитического портала W3Techs, на PHP работают 90,8% сайтов с контентом на русском языке, а всего в мире — 69,3%, среди них Wikipedia, Flickr, Tumblr, Slack, MailChimp, Facebook (принадлежит Meta, компания признана экстремистской и запрещена в России) и другие.

На проблему отреагировали власти и специалисты по кибербезопасности разных стран, призвав владельцев сайтов на PHP загрузить обновления, а при невозможности сделать это быстро — временно отключить сайты. С такими рекомендациями выступили, в частности, Агентство национальной безопасности США и премьер-министр Японии Санаэ Такаити. Свои государственные веб-сервисы временно закрыли Финляндия и Чехия, МИД Бельгии и Минфин Японии; превентивно отключили сайты также префектуры Франции, порт Роттердама, футбольная ассоциация Нидерландов (KNVB), пять крупнейших партий и несколько больниц страны. Часть систем на время устранения уязвимостей закрыла и Wikimedia, управляющая Wikipedia. Гендиректор Cloudflare Мэттью Принс сообщал, что уязвимости PHP «пытались эксплуатировать миллионы раз» после публичного заявления об ошибках в коде.

В России первым начал реагировать бизнес: хостинг-провайдеры начали уведомлять клиентов, а «Лаборатория Касперского» и «1С-Битрикс» выпустили рекомендации. Бизнес-партнер по инновационному развитию компании «Гарда», технический директор «Гарда WAF» Лука Сафонов говорил РБК, что уязвим сам язык PHP, а не конкретные программы, — обновление WordPress, Drupal или Joomla проблему не решат. «В России огромное количество сайтов написаны на PHP, поэтому уязвимость могла затронуть десятки, а то и сотни тысяч ресурсов Рунета», — отмечал Сафонов. По его мнению, из-за найденных уязвимостей можно ожидать серьезной волны атак в ближайшее время.