Due vulnerabilità di PHP, soprannominate «PHP2Shell», sono oggetto di uno sfruttamento diffuso, secondo Amazon. Il problema richiede un intervento urgente da parte delle organizzazioni che gestiscono siti web e server basati su PHP.
Il rapporto che descrive la divulgazione riferisce che gli sviluppatori di PHP hanno rilasciato aggiornamenti di sicurezza mercoledì. La NSA ha consigliato a ogni organizzazione che usa PHP di aggiornare subito o, se un intervento tempestivo non è fattibile, di mettere offline i sistemi interessati finché non potranno essere mitigati completamente.
Il rapporto disponibile non identifica i rami di PHP interessati, i numeri di versione vulnerabili o le versioni corrette. Non fornisce inoltre identificativi CVE, quindi gli amministratori non dovrebbero dare per scontato che una specifica installazione sia sicura solo perché è relativamente recente.
Amazon ha rilevato un tentativo di sfruttamento prima della divulgazione
Mercoledì Amazon ha dichiarato di aver rilevato un tentativo di sfruttare la falla quattro giorni prima che le vulnerabilità diventassero pubbliche. L'azienda ha inoltre descritto le falle come ampiamente sfruttate in attacchi reali.
Questo resoconto costituisce una prova di sfruttamento attivo, anche se il rapporto non attribuisce l'attività a un particolare attaccante né quantifica il numero di sistemi colpiti o compromessi.
I ricercatori delle aziende statunitensi di cybersicurezza Calif e Wiz hanno scoperto le due vulnerabilità, che, secondo il rapporto, erano rimaste non rilevate per più di dieci anni. Modelli di OpenAI e Google hanno supportato la ricerca, mentre secondo quanto riferito OpenAI, PHP, Calif e Wiz hanno collaborato per validare i risultati e preparare le patch. Wiz è di proprietà di Alphabet.
Attacchi riusciti potrebbero esporre server e database
La NSA ha avvertito che le falle spesso possono offrire agli attaccanti un accesso diretto al file system o al database di un server. Il National Cyber Security Centre britannico ha affermato che lo sfruttamento potrebbe consentire a un attaccante di prendere il controllo di un server web senza fornire una password o altre credenziali di accesso.
Queste conseguenze potrebbero mettere a rischio i contenuti dei siti, i file delle applicazioni e i servizi basati su database, a seconda di come è configurato il server interessato. Il rapporto non fornisce le cause tecniche profonde delle vulnerabilità né i prerequisiti precisi per lo sfruttamento.
Secondo quanto riferito, alcuni governi europei stavano mettendo offline i siti web mentre applicavano le patch. Negli Stati Uniti, la Casa Bianca ha dichiarato che le agenzie federali stanno valutando i possibili effetti sulle reti governative e sulle infrastrutture critiche.
La diffusione di PHP rende difficile stabilire le priorità delle patch
Wiz stima che circa il 70% dei siti web nel mondo usi PHP. Questo dato descrive la diffusione di PHP, non la percentuale di siti che eseguono versioni vulnerabili confermate.
WordPress è particolarmente rilevante perché la piattaforma è scritta principalmente in PHP e dipende da questo linguaggio per funzionare. Il rapporto, tuttavia, non stabilisce che ogni sito WordPress, o ogni installazione di PHP, sia vulnerabile.
Gli amministratori dovrebbero individuare i sistemi che eseguono PHP, dare priorità ai server di produzione esposti e installare gli aggiornamenti di sicurezza di PHP rilasciati mercoledì. Quando un sistema interessato non può essere aggiornato subito, la raccomandazione dichiarata dalla NSA è di metterlo offline finché non sarà possibile una mitigazione completa. Poiché il rapporto non specifica le versioni corrette, i team dovrebbero verificare che i pacchetti installati contengano le correzioni PHP2Shell rilasciate dagli sviluppatori di PHP, invece di affidarsi solo allo stato degli aggiornamenti del sistema operativo.
OpenAI ha descritto le vulnerabilità come tra i risultati di sicurezza più rilevanti degli ultimi tempi. Ha affermato che l'IA di frontiera ha aiutato i difensori a scoprirle prima degli attaccanti, avvertendo però che le stesse capacità potrebbero accelerare lo sviluppo di exploit, un timore particolarmente concreto ora che Amazon ha segnalato sfruttamenti reali.
