Критична вразливість у мові програмування PHP, яка використовується для створення вебсайтів і вебзастосунків, змусила урядові органи та компанії в усьому світі вжити термінових заходів. Федеральне відомство з питань безпеки інформаційної техніки (BSI) та Агентство національної безпеки США (NSA) закликали до «негайного» встановлення оновлення безпеки. Через загрозу кібератак численні інтернет-сторінки були тимчасово вимкнені.
За даними BSI, критичні вразливості в PHP наразі загрожують вебзастосункам по всьому світу. Вони можуть дозволити хакерам отримати «прямий доступ» до систем даних або серверних баз даних. За оцінкою компанії Wiz, близько 70 відсотків світових вебсайтів базуються на PHP. Фахівці назвали ці вразливості одними з найсерйозніших, які будь-коли були виявлені в PHP, а можливо, і в усій історії програмного забезпечення.
Оновлення безпеки було оприлюднено в середу. BSI та NSA рекомендували встановити його якнайшвидше. Якщо це неможливо, вебсайти слід тимчасово вимкнути, щоб запобігти захопленню серверів кіберзлочинцями без пароля. За словами віцепрезидента BSI Томаса Касперса, станом на вечір середи ще не спостерігалося «великої шкоди». Водночас він попередив: «Той, хто сьогодні ще не оновив свої вебзастосунки і не встановив найновішу версію, справді ризикує постраждати дуже скоро». Касперс припустив, що не всі оператори встановлять оновлення, і тоді «ми побачимо перші збитки».
У Німеччині в середу низка земельних і поліцейських органів, а також кілька міст тимчасово прибрали свої онлайн-послуги з мережі, щоб встановити оновлення. Зокрема, за даними Земельного управління центральних поліцейських служб Північного Рейну-Вестфалії, «деякі онлайн-сервіси поліції Північного Рейну-Вестфалії були тимчасово вимкнені як запобіжний захід». Поліція Берліна повідомила про збої в роботі «Інтернет-вартової», через яку можна подавати заяви, та закликала телефонувати за номером екстреної допомоги 110. Постраждала також університетська клініка Charité в Берліні. Крім того, численні міста, серед них Мюнхен, Фленсбург і Саарбрюкен, тимчасово призупинили роботу своїх онлайн-пропозицій.
Проблема торкнулася й інших країн Європи. У Франції були недоступні інтернет-сторінки кількох відомств, зокрема паризької поліції. У Бельгії офлайн був, зокрема, сайт Міністерства закордонних справ. У Нідерландах постраждали цифровий сервіс ідентифікації DigiD, сайт парламенту та інтернет-сторінка національного центру кібербезпеки. В Австралії, за повідомленням Австралійського управління сигналів, власний сайт cyber.gov.au також належав до урядових вебсайтів, уражених вразливістю. За даними Фонду Вікімедіа, постраждала й онлайн-енциклопедія Wikipedia, тому користувачам слід було очікувати збоїв. Як повідомив ігровий портал Kotaku, в середу також було вимкнено кілька застосунків успішних ігор Pokémon; в одному випадку причиною назвали заходи безпеки.
Вразливості були виявлені ще в серпні компанією з кібербезпеки Calif та розробником ChatGPT OpenAI, які знайшли їх незалежно одна від одної того самого дня. Пізніше компанія Wiz повідомила про додаткові способи їх використання. Розробникам PHP про проблеми спершу повідомили конфіденційно, і вони залишалися закритими, поки тривала робота над рішенням. Деталі були оприлюднені в інтернеті у вівторок — за день до запланованого випуску оновлення. Це й спричинило запобіжне вимкнення багатьох вебсайтів.
За словами BSI, вразливість стосується всіх версій PHP щонайменше до PHP 5. Водночас постраждали лише ті вебсайти, які використовують PHP на власних серверах. Багато великих платформ працюють на інших мовах програмування або мають операторів, які змогли швидко встановити оновлення безпеки, тому залишилися онлайн. Фонд PHP у своєму блозі наголосив: «Якщо ви використовуєте PHP, вам конче необхідно зробити оновлення зараз».
За словами Касперса, користувачі наразі безпосередньо не постраждали. Однак споживачам слід бути уважними та «очікувати», що в найближчі дні через можливо скомпрометовані вебсайти можуть виникнути проблеми.