Cloudflare provided free protection against PHP vulnerabilities as Prince discussed disclosure trade-offs
Cloudflare CEO Matthew Prince said OpenAI and security researchers found a remote code execution (RCE) vulnerability in PHP and notified Cloudflare and other organizations about two months before public disclosure. PHP is used by about 70% of the web, and popular content management systems such as WordPress are built on it. The vulnerability let an attacker send requests to a server, take it over and run code on it—for example, read files and capture usernames and passwords. A compromised server could also be used for other criminal activity. Later, Wiz, a Google subsidiary, reported a second PHP vulnerability.
Prince said the Google and OpenAI teams worked with industry leaders, including Cloudflare, to address the issue. The effort also involved Automattic, the creator of WordPress; the PHP Foundation, which maintains PHP; and the U.S. government. Over two months, organizations coordinated their response to the risk. Cloudflare quietly enabled free protection for all its customers, including free-tier users. Prince described it as a temporary measure that bought time, not a substitute for installing the fix.
Prince said they saw an uptick and signs that information had leaked about 36 hours before the patch was released. After publication of the patch, attackers had enough detail to work out how to exploit the vulnerability: in the hours before its release, Cloudflare saw thousands of attacks across its network; afterward, it was seeing millions of attempted attacks per minute. Cloudflare’s protection helped, but Prince urged server operators to install the latest PHP version. The update is free and, he said, takes only a few minutes. Managed platforms such as WordPress often install updates automatically. He also relayed NSA guidance: if a patch cannot be installed, taking the server offline is safer than leaving it unprotected.
Prince called it difficult to decide who should receive advance access to information about new vulnerabilities, and when. The more people and organizations receive it, the greater the risk that it will reach someone who could cause real harm. At the same time, European banks and leaders ask why they do not get access to new technologies and say they feel vulnerable. Prince said that when Cloudflare was a small startup, it too asked why it was not told about new vulnerabilities; now Cloudflare receives such information, while startups ask how they can get access. He said there is no perfect answer. In his assessment, disclosure almost two months in advance gave organizations time to prepare and patch the issue, helping mitigate what could have been a disaster. He praised the OpenAI, Google and Wiz teams for their handling of the process, while acknowledging it was not perfect and calling it very good.
Cloudflare бесплатно защитила клиентов от уязвимостей PHP; Принс рассказал о компромиссах при раскрытии
Генеральный директор Cloudflare Мэттью Принс рассказал, что OpenAI и исследователи безопасности обнаружили уязвимость удалённого выполнения кода (RCE) в PHP и примерно за два месяца до публичного раскрытия уведомили Cloudflare и другие организации. PHP используется примерно на 70% сайтов в интернете; на нём работают популярные CMS, в том числе WordPress. Уязвимость позволяла отправить серверу запросы, захватить его и выполнять на нём произвольный код — например, читать файлы и перехватывать имена пользователей и пароли. Захваченный сервер также мог использоваться для других преступных действий. Позже Wiz, дочерняя компания Google, сообщила о второй уязвимости в PHP.
По словам Принса, команды Google и OpenAI согласованно работали над проблемой с лидерами отрасли, включая Cloudflare; к работе также привлекли Automattic — создателя WordPress, PHP Foundation, поддерживающий PHP, и правительство США. В течение двух месяцев организации координировали подготовку к устранению риска. Cloudflare незаметно включила бесплатную защиту для всех клиентов, в том числе пользователей бесплатного тарифа. Принс назвал её временной мерой, которая помогала выиграть время, а не заменой исправлению.
Принс сообщил, что примерно за 36 часов до выхода исправления они заметили рост активности и признаки утечки информации. После публикации патча стало проще понять, как устроена эксплуатация уязвимости: за несколько часов до его выхода Cloudflare фиксировала тысячи атак в своей сети, а затем — миллионы попыток атак в минуту. Защита Cloudflare помогала, но Принс призвал операторов серверов установить последнюю версию PHP: обновление бесплатно и, по его словам, занимает всего несколько минут. Управляемые платформы, такие как WordPress, часто устанавливают обновления автоматически. Он также передал рекомендацию АНБ: если установить патч невозможно, безопаснее отключить сервер, чем оставлять его без защиты.
Принс назвал сложным вопрос о том, кому и когда предоставлять предварительный доступ к сведениям о новых уязвимостях. Чем больше людей и организаций получают такую информацию заранее, тем выше риск, что она попадёт к тому, кто причинит реальный вред. При этом европейские банки и руководители спрашивают, почему им не дают доступ к новым технологиям, и чувствуют себя уязвимыми. По словам Принса, когда Cloudflare была небольшой стартап-компанией, она сама спрашивала, почему ей не сообщают о новых уязвимостях; теперь Cloudflare получает такие сведения, а стартапы спрашивают, как получить к ним доступ. Принс подчеркнул, что идеального ответа нет. По его оценке, заблаговременное раскрытие почти за два месяца дало организациям время подготовиться и установить исправления, что помогло смягчить последствия потенциальной катастрофы. Он похвалил команды OpenAI, Google и Wiz за их работу, добавив, что процесс не был идеальным, но был проведён очень хорошо.
