Уязвимость PHP2Shell предвещает настоящий Ад в сфере кибербезопасности

В конце октября стало известно о множестве серьезных проблем с кибербезопасностью. Но ни одна из них не была более серьезной, чем так называемая уязвимость PHP2Shell, которая подвергала множество веб-сайтов, включая НАСА, Википедию, Белый дом и все другие сайты, работающие на Wordpress или Drupal (среди прочих), риску эксплойтов, способных как считывать конфиденциальные данные, так и запускать вредоносный код на них. главный сервер.

Насколько всем известно, катастрофу удалось предотвратить: взлом был обнаружен исследователями в области кибербезопасности, которые сообщили об этом в PHP Foundation, и патч был выпущен до того, как злоумышленники добрались до эксплойта. Однако PHP2Shell может оказаться канарейкой в угольной шахте, служащей предупреждающим знаком о том, что должно произойти в эпоху искусственного интеллекта.

"Одна из вещей, которую мы сейчас наблюдаем, заключается в том, что все устаревшее программное обеспечение, написанное людьми за последние 40 лет, становится доступным", - говорит Мэтт Суич, руководитель исследований в области безопасности искусственного интеллекта в стартапе Tolmo, занимающемся кибербезопасностью. "Теперь пришло время погасить технический долг".

PHP, который первоначально обозначал "персональную домашнюю страницу", - это язык программирования, созданный еще в 1994 году и широко используемый на устаревших сайтах. Об ошибке, лежащей в основе уязвимости PHP2Shell, было сообщено в PHP Foundation еще в 2024 году. Ошибка вызвала распространенную проблему, называемую ошибкой нехватки памяти, при которой объем памяти, выделенный для фрагмента данных, слишком мал для хранения данных. Обычно ошибки такого типа приводят к аварийному завершению работы программы — неприятному, но не опасному по своей сути результату. Таким образом, ошибка осталась без внимания.

"Если вы посмотрите на любой из них в любой момент времени, то увидите множество отчетов об ошибках, которые ожидают исправления, а это просто сбои. Большинство людей не воспринимают их всерьез", - говорит Суман Яна, доцент кафедры компьютерных наук Колумбийского университета.

"Просто в них много очень специфических рассуждений, которые трудно выполнять. И ИИ, я думаю, проделал в этом очень хорошую работу". – Суман Яна, Колумбийский университет

Ранее в этом году фирма по кибербезопасностиCalif offered to independently audit PHP, sponsored by OpenAI. Within two weeks, a researcher at Calif, aided by AI tools, found a way to use the out-of-memory bug to run arbitrary code on the host server, allowing a malicious actor to install malware or read critical data. Now, it was no longer a minor bug—it was a critical vulnerability, and the Calif team alerted the PHP foundation to start working on a patch immediately.

Jana says actually exploiting the bug requires carefully working out a way to jump to a specific point in the memory for a particular program running on the server, and work out exactly which bits to overwrite in what order to gain control of the system. "It’s not really rocket science," he says. "It’s just that it’s a lot of very specific reasoning that is painful to do. And AI, I think, has done a very good job at that."

To be clear, the researchers at Calif (as well as OpenAI and Wiz, a cybersecurity company that confirmed and expanded the vulnerabilities) had deep knowledge of both cybersecurity and the PHP language. "I’m not claiming that AI can do it all by itself. It clearly cannot," Jana says. "But it is improving a lot, so the top 0.1 percent [of experts] can get a lot more stuff done, and also just below the 0.1 percent now will be able to go there without understanding all the nitty-gritty details."

After the exploits were disclosed to the PHP Foundation, a team of four engineers spent two months developing a patch to release as quickly as possible.

"There is a fundamental asymmetry in finding bugs and fixing bugs," Jana says. "Because when you’re fixing bugs you have to make sure that you know all parts of that attack are closed, and also that you don’t break any existing functionality."

This asymmetry puts a lot of strain on the defenders, especially for open-source software such as PHP. Maintaining open-source projects that don’t have clear revenue streams despite being widely used is a long-standing challenge that precedes AI hacking tools. But those tools make the issue more pressing than ever.

One way to stay ahead of such issues going forward is to empower the defenders with more money and access to frontier cybersecurity AI models. "These frontier labs are donating some of their token budgets to look into these bugs, which I think is great," Jana says. "I think that should happen more, either through some concerted effort or through donations."

Jana is also optimistic that formal verification tools to automate the patching side of the equation are also advancing quickly, including a new release from Anthropic on 22 October. "The patch is LLM-generated, and then an LLM generates the proof that the patch is correct," says Jana. "The only thing not done by an LLM is the proof checker, because somebody has to check the proof, because LLMs hallucinate. So, you want something that is formal."

Hopefully, the combination of specialized AI models and formal verification tools will make patching vulnerabilities nearly as automatable as finding them.

Matthew Green, an associate professor of computer science at Johns Hopkins University Information Security Institute, is less optimistic. "Nobody’s going to fix this problem until something really bad happens," he says. "And PHP2Shell wasn’t bad enough to be really bad. So when something really bad happens, which is going to be maybe sometime in early 2027, something bad that normal people are upset by, then suddenly people will start doing this. We’re going to fund everything."

In the meantime, Green says, update your software. "If your phone is like, ‘Hey, there’s a security update available, do you want to install it,’ don’t wait til next week. Just do it."

One thing’s for sure—PHP2Shell is just the beginning. "This won’t be the last one for sure," Jana says. "It’s just who finds it. Hopefully, the white hat hackers find it first, like this one."

>