Днес се очаква пускането на пач за сигурност за езика за програмиране PHP, който се използва повсеместно за създаване на уебсайтове и уебприложения. Целта на актуализацията е да се отстранят две критични уязвимости, които, ако не бъдат отстранени, могат да нанесат сериозни щети на интернет инфраструктурата по целия свят.
Разработчиците на PHP са оценили въпросните уязвимости с ниво на опасност 9,2 от 10 точки, което показва сериозността на ситуацията. Някои специалисти по информационна сигурност дори препоръчаха на собствениците на уебсайтове временно да блокират достъпа до своите системи, ако няма възможност да приложат пача за PHP веднага. На потребителите на PHP разработчиците препоръчват да инсталират кръпката веднага след нейното пускане.
Според данни на компанията watchTowr, работеща в сферата на информационната сигурност, споменатите уязвимости позволяват отдалечено изпълнение на код и засягат всички версии на PHP, започвайки от PHP 5. Това означава, че злонамерени лица могат да използват уязвимостите за изпълнение на злонамерен код на уязвими сървъри с цел постигане на различни цели, включително модифициране на уебсайтове, кражба на данни и други.
Мащабът на проблема може да бъде огромен. Според оценката на един от изследователите в областта на киберсигурността, вероятно са застрашени над 1,3 милиона хоста, свързани с интернет.Компанията Wordfence, доставчик на плъгини за платформата WordPress също предупреди, че всички сайтове, базирани на тази платформа ще бъдат уязвими, тъй като всички те работят на сървъри с PHP. Това е внушителна цифра, тъй като данните на WordPress сочат, че през миналата година над 40% от интернет сайтовете са използвали тази платформа. От Wordfence добавиха, че пачът за сигурност за PHP не може да бъде инсталиран автоматично. Собствениците на сайтове трябва да разберат кой отговаря за актуализирането на PHP, тъй като пачът трябва да се инсталира ръчно.
На този фон Службата за киберсигурност на Европейския съюз (EU CERT) и Националният център за киберсигурност на Великобритания публикуваха препоръки. В тях се съветва компаниите, които не могат веднага да приложат кръпката за PHP, да изолират приложенията, достъпни от интернет от публичните мрежи или пък напълно да ги изключат за времето, необходимо за внедряване на актуализацията. Разработчикът на мобилната платформа GrapheneOS обяви временно блокиране на своя форум за потребители, което се наложи с цел намаляване на рисковете от експлоатация на уязвимостите. Един от разработчиците на PHP заяви, че единственият начин да се неутрализира заплахата е чрез инсталиране на кръпка, а ако това не е възможно по някакви причини, изключването на сървърите „може да бъде най-разумното решение“.