Cloudflare бесплатно защитила клиентов от уязвимостей PHP; Принс рассказал о компромиссах при раскрытии

Генеральный директор Cloudflare Мэттью Принс рассказал, что OpenAI и исследователи безопасности обнаружили уязвимость удалённого выполнения кода (RCE) в PHP и примерно за два месяца до публичного раскрытия уведомили Cloudflare и другие организации. PHP используется примерно на 70% сайтов в интернете; на нём работают популярные CMS, в том числе WordPress. Уязвимость позволяла отправить серверу запросы, захватить его и выполнять на нём произвольный код — например, читать файлы и перехватывать имена пользователей и пароли. Захваченный сервер также мог использоваться для других преступных действий. Позже Wiz, дочерняя компания Google, сообщила о второй уязвимости в PHP.

По словам Принса, команды Google и OpenAI согласованно работали над проблемой с лидерами отрасли, включая Cloudflare; к работе также привлекли Automattic — создателя WordPress, PHP Foundation, поддерживающий PHP, и правительство США. В течение двух месяцев организации координировали подготовку к устранению риска. Cloudflare незаметно включила бесплатную защиту для всех клиентов, в том числе пользователей бесплатного тарифа. Принс назвал её временной мерой, которая помогала выиграть время, а не заменой исправлению.

Принс сообщил, что примерно за 36 часов до выхода исправления они заметили рост активности и признаки утечки информации. После публикации патча стало проще понять, как устроена эксплуатация уязвимости: за несколько часов до его выхода Cloudflare фиксировала тысячи атак в своей сети, а затем — миллионы попыток атак в минуту. Защита Cloudflare помогала, но Принс призвал операторов серверов установить последнюю версию PHP: обновление бесплатно и, по его словам, занимает всего несколько минут. Управляемые платформы, такие как WordPress, часто устанавливают обновления автоматически. Он также передал рекомендацию АНБ: если установить патч невозможно, безопаснее отключить сервер, чем оставлять его без защиты.

Принс назвал сложным вопрос о том, кому и когда предоставлять предварительный доступ к сведениям о новых уязвимостях. Чем больше людей и организаций получают такую информацию заранее, тем выше риск, что она попадёт к тому, кто причинит реальный вред. При этом европейские банки и руководители спрашивают, почему им не дают доступ к новым технологиям, и чувствуют себя уязвимыми. По словам Принса, когда Cloudflare была небольшой стартап-компанией, она сама спрашивала, почему ей не сообщают о новых уязвимостях; теперь Cloudflare получает такие сведения, а стартапы спрашивают, как получить к ним доступ. Принс подчеркнул, что идеального ответа нет. По его оценке, заблаговременное раскрытие почти за два месяца дало организациям время подготовиться и установить исправления, что помогло смягчить последствия потенциальной катастрофы. Он похвалил команды OpenAI, Google и Wiz за их работу, добавив, что процесс не был идеальным, но был проведён очень хорошо.