Серия уязвимостей затронула PHP, Node.js, LiteLLM и eMudhra
За один день в центре внимания оказались критические проблемы в PHP, четыре уязвимости высокой опасности в Node.js, компрометация цепочки поставки LiteLLM и закрытых ключей индийского центра сертификации eMudhra. Агентство национальной безопасности США рекомендовало организациям с PHP немедленно установить обновление либо отключить затронутые системы до обновления.
Проблемы в распространённых компонентах
Уязвимости PHP оказались настолько серьёзными, что правительственные сайты в разных странах стали недоступны, сообщило Reuters. В исходном сообщении не раскрываются технические детали найденных проблем, однако рекомендация NSA подчёркивает срочность обновления для организаций, использующих язык на своих системах.
Проект Node.js выпустил исправления для четырёх уязвимостей высокой степени опасности. Одна из них могла позволить удалённое выполнение кода. Ещё две создавали возможность обхода проверки TLS — механизма, который должен подтверждать подлинность сервера при защищённом соединении.
Компрометация LiteLLM и риск для учётных данных
LiteLLM, открытый прокси для маршрутизации запросов к нескольким поставщикам больших языковых моделей, сообщил о внедрении вредоносного кода атакующим. Заражённые артефакты были опубликованы в PyPI, Docker Hub и GHCR — реестре контейнеров GitHub.
По заявлению LiteLLM, вредоносный код содержал средство кражи данных, нацеленное на облачные учётные данные, пароли и реквизиты сервисов искусственного интеллекта. В состав также входил троян удалённого доступа, способный выполнять команды в скомпрометированных системах. Компания удалила вредоносные релизы и образы и призвала пользователей, установивших их, выполнить опубликованные меры устранения последствий.
Сертификаты и параллельные инциденты
Отдельный риск возник у eMudhra: были скомпрометированы закрытые ключи центра сертификации. При таком сценарии злоумышленники потенциально могут выпускать мошеннические сертификаты и выдавать себя за легитимные сайты. Эксперты по безопасности охарактеризовали объём необходимых работ по очистке как очень масштабный.
Эти события произошли на фоне других инцидентов: TiDB Cloud сообщил о нарушении безопасности, злоумышленники эксплуатировали четыре исправленные уязвимости Plex Media Server, объединённые под названием Plex2Shell, а BeyondTrust предупреждала о критической уязвимости нулевого дня в Remote Support, которую эксплуатировали с августа. Проблемы не связаны между собой, но их одновременное появление увеличивает нагрузку на команды защиты.
Что проверить организациям
Практический приоритет — сверить версии PHP и Node.js с доступными исправлениями, выяснить, устанавливались ли затронутые пакеты или контейнеры LiteLLM, и выполнить инструкции проекта по устранению последствий. Организациям также стоит проверить и при необходимости заменить облачные, парольные и AI-учётные данные, которые могли оказаться доступны вредоносному коду.
Серия инцидентов показывает, что контроль обновлений, происхождения зависимостей и секретов должен быть регулярной операционной задачей: уязвимости в широко используемых компонентах и компрометация репозиториев требуют быстрых, но проверяемых действий.