Wiz: две критические уязвимости PHP ускорили обсуждение автоматизации патчей
Две критические уязвимости в PHP, языке программирования, который используется примерно на 70% сайтов, заставили организации срочно исправлять системы, а часть из них временно отключила веб-ресурсы до установки патчей. В устранении дефектов участвовали команда PHP, Wiz, OpenAI и исследовательская группа Calif.
Тему обсудили в выпуске подкаста Equity издания TechCrunch. Гостем стала Томер Шварц, технический директор направления Exposure Management & AppSec в Wiz, которая участвовала в координации работ по исправлению ошибок.
Почему инцидент с PHP оказался заметным
PHP остаётся широко распространённой технологией для веб-разработки, поэтому критические ошибки в языке быстро становятся задачей не только для разработчиков, но и для владельцев сайтов и ИТ-команд. В этом случае организациям пришлось оценивать риск, обновлять затронутые компоненты и в отдельных случаях ограничивать доступ к сайтам, пока исправления не были установлены.
Шварц охарактеризовала ожидаемый рост подобных ситуаций как «vulnpocalypse» — период, в котором новые уязвимости будут находить и использовать быстрее. Основанием для такого опасения она назвала влияние ИИ на скорость поиска и эксплуатации новых дефектов.
Ручного патчинга недостаточно
Главный практический вывод из обсуждения — ручное развёртывание обновлений не сможет масштабироваться. Чем больше приложений, библиотек и инфраструктурных компонентов использует компания, тем сложнее своевременно определить, какие системы затронуты критическим дефектом.
Для ранних стартапов и действующего бизнеса это означает необходимость закладывать безопасность в процессы разработки и эксплуатации. Важно иметь актуальное представление об используемых компонентах, порядок проверки обновлений и механизм оперативного применения патчей.
Что стоит проверить компаниям
- Определить, какие продукты и сайты используют PHP и связанные зависимости.
- Настроить процесс оценки критических обновлений и их внедрения в рабочие системы.
- Сократить зависимость от ручных действий при поиске затронутых активов и развёртывании исправлений.
- Учитывать, что ускорение поиска уязвимостей повышает требования к готовности команд реагирования.
Ситуация с PHP показывает: критический дефект в базовой веб-технологии может потребовать немедленных операционных решений. Бизнесу следует заранее выстроить управляемый и по возможности автоматизированный цикл обновлений, чтобы не выбирать между доступностью сайта и безопасностью в момент инцидента.