В компании Wiz прокомментировали ситуацию вокруг двух критических уязвимостей в PHP — языке, на котором работает примерно 70% сайтов в мире. На прошлой неделе организации в спешке устанавливали исправления, а некоторые из них на время снимали сайты с воздуха, пока уязвимости не были закрыты.
Обсуждение проблемы в новостных лентах быстро стихло, однако работа по устранению последствий, по словам технического директора Wiz, далека от завершения. Он также предупредил о грядущей «вулнопокалипсисе» (vulnpocalypse) — так в компании называют волну массовой эксплуатации уязвимостей в open source.
Исследователи, обнаружившие баги, отмечают, что исправление уязвимостей — лишь первый шаг: после выхода патчей начинается длительный цикл обновлений у тысяч зависимых проектов и приложений. Организациям приходится проверять свои стеки и серверы, чтобы исключить компрометацию.
Ситуация с PHP показала, насколько уязвима современная инфраструктура: значительная часть веба зависит от одного open source проекта, и обнаружение в нём критических дефектов мгновенно отражается на компаниях по всему миру. Специалисты Wiz подчёркивают, что подобные инциденты будут повторяться, поэтому командам стоит заранее выстраивать процессы реагирования и ускоренной установки обновлений.
