Две серьёзные проблемы интернет-безопасности возникли, что поставило администраторов сайтов в состояние тревоги. Первая проблема касается сертификатов TLS с чрезвычайно слабым шифрованием, которое может повлиять на VPN и устройства IoT. Вторая — это серьёзная уязвимость языка программирования PHP, затрагивающая системы управления контентом, такие как WordPress и Drupal. Оба проблемы могут привести к масштабным атакам и потребуют огромных работ по очистке, предупреждают эксперты в области безопасности.
Фонд PHP выпустил патчи безопасности для двух критических уязвимостей, оцененных в 9,2 из 10 по шкале тяжести. Отчёт показывает видео инструмента под названием PHP2Shell, который запускает код на веб-серверах, включая последние версии WordPress, MediaWiki, Symphony, Drupal и других сайтов на базе PHP. Компания по кибербезопасности Towr заявляет, что уязвимость затрагивает каждую версию, начиная с PHP 5 (2004) и далее, потенциально позволяя злоумышленникам запускать собственный код на сервере.
Компания из Индии под названием e Mudhra сообщила, что восемь её промежуточных сертификатов CA были скомпрометированы. Частные ключи слабы, колеблются от трёх до восьми бит вместо обычных 384 бит, потенциально позволяя злоумышленникам подделывать учётные данные для веб-сайтов и приложений. Mozilla, Google и Apple заблокировали скомпрометированные сертификаты, но утилита macOS может продолжать доверять им. e Mudhra отозвала сертификаты и возложила вину на скрипт, использованный для их создания.
Наибольший риск в настоящее время существует для VPN, особенно там, где правительства пытаются перехватить трафик, и устройств IoT. Filippo Valsorda предупредил, что это станет масштабной работой по очистке, большей, чем Heartbleed. Веб-администраторы спешат исправить проблемы, при этом некоторые сайты на базе PHP могут временно недоступны.
Источник: Engadget · Сводку подготовил HeadlinesBriefing