PHP2Shell: две критические уязвимости PHP, задержка исправлений и спор о безопасности open source
В конце октября две критические уязвимости PHP под общим названием PHP2Shell позволяли удалённо выполнять код без аутентификации. Раскрытие сопровождалось утечками и спором между поставщиками, а исправление задержали, и это вызвало споры в сообществе.
Главное в цифрах
- Биткоины за взлом PHP-сервера предложены на сумму примерно 500 долларов
Уязвимости получили общее название PHP2Shell. Они допускали удалённое выполнение кода без аутентификации. Раскрытие сопровождалось утечками информации и спором между поставщиками, а выпуск исправления задержали.
После первых дней громких заголовков в СМИ тревога сменилась скепсисом. Часть участников сообщества выясняла, почему исправления задержали, другие спрашивали, не преувеличена ли опасность.
Разная реакция
В Нидерландах из предосторожности отключили государственные порталы. В Германии ограничили работу сайтов города Мюнстер и его онлайн-сервисов. Университет Хельсинки временно закрыл свой экземпляр Moodle и несколько других сервисов, чтобы защитить данные пользователей.
Исследователь Джеймс Павур предложил взломать свой PHP-сервер и забрать биткоины примерно на 500 долларов. Его смущало, что предупреждений много, а сообщений о реальных жертвах мало.
Открытые вопросы
Спор не сводится к тому, кто испугался сильнее. Остаётся неясным, почему об ошибке знали задолго до публикации и почему выпуск исправления сопровождался утечками и разногласиями. Отдельно пользователи, которые ждали исправлений, хотели бы понять, что им делать в этот период.
