Коротше, сьогодні в PHP знайшли одразу дві критичні вразливості, які дозволяють будь-кому виконувати код на вашому сервері навіть без входу в систему. І це вже повна дупа. Але далі ще гірше: подробиці про вразливості злили в мережу ще до того, як вийшов патч.
І це працює на WordPress, MediaWiki, Magento, Joomla, Laravel — тобто на купі платформ, якими користується пів інтернету. За даними Censys, приблизно 1,5 мільйона серверів досі працюють на версіях, для яких немає виправлення.
У відповідь АНБ США фактично заявило: «Вимикайте свої системи». ФБР — те саме. CISA, британські кібербезпекові структури та CERT-EU теж закликали відключати системи від мережі.
А потім прем’єр-міністр Японії — так, саме чинний прем’єр-міністр країни — о 5:55 ранку опублікував повідомлення, у якому закликав 48,8 мільйона людей вимкнути свої системи.
І тут почалося найцікавіше: усі реально почали відключатися.
Нідерландське агентство з кібербезпеки відключило власний сайт. Сайт парламенту Нідерландів теж зник. Порт Роттердама пішов офлайн. Фінляндія, Франція та Данія почали відключати державні сайти. Wikipedia впала. Archive.org теж. Asana, GOG, Something Awful — усе полетіло. Навіть вебпошта Віденського університету чомусь перестала працювати.
І це, на хвилиночку, лише PHP.
Бо паралельно GitLab випустив інформацію про вразливість із CVSS 10.0 — це максимальна оцінка критичності, яку взагалі можна отримати. І ця діра існувала ще з 2014 року. Тобто потенційно вона стосується всіх, хто самостійно розгорнув GitLab і користувався ним протягом останніх дванадцяти років.
А тепер ще веселіше.
Пакет LiteLLM версії 1.107.0 захопили зловмисники й перетворили на засіб для крадіжки облікових даних і троян віддаленого доступу. Шкідливий код потрапив у всі Python-колеса цього релізу та Docker-образи, включно з тегом latest.
І ні, не потрібно було навіть імпортувати бібліотеку у свій код. Достатньо було просто встановити пакет — і все, привіт, ваші секрети вже можуть бути в чужих руках.
І це вже другий подібний інцидент із LiteLLM цього року.
Тим часом Railway призупинила всі розгортання на всій платформі після того, як хтось отримав доступ до змінних середовища. Тепер користувачам потрібно змінити всі секрети, які вони коли-небудь там зберігали. Усі. Токени, паролі, ключі доступу — усе, що могло засвітитися.
TiDB Cloud повідомила, що зловмисник майже місяць гуляв їхніми системами, використовуючи викрадені облікові дані. А одна група, яка займається вимаганням, заявила, що винесла звідти 10,6 терабайта даних.
Zeabur зламали вже вдруге за два місяці, і тепер компанія взагалі закривається. Не просто вимикає якийсь сервіс — припиняє існування як бізнес.
Node.js тим часом випустив виправлення для віддаленого виконання коду та обходу перевірок TLS. CISA попереджає, що вразливість у Plex уже активно експлуатують у реальних атаках.
Ще хтось захопив контроль над понад 300 вихідними вузлами Tor, щоб викрадати SSH-паролі. Програма-вимагач SafePay, за повідомленнями, атакувала понад 600 організацій критичної інфраструктури. Найбільший банк Індії подав повідомлення про інцидент із втратою даних.
А Японія з 9 жовтня перебуває в офіційно оголошеному стані кібернетичної надзвичайної ситуації. Що, якщо подумати, трохи пояснює той пост прем’єра о 5:55 ранку.
Але зачекайте, це ще не все.
eMudhra — центр сертифікації, який видав понад 60 мільйонів цифрових сертифікатів, — тобто організація, чия робота полягає в тому, щоб підтверджувати, що сайти справді є тими, за кого себе видають, — мала використовувати приватні криптографічні ключі, які повинні були бути випадковими числами завдовжки понад сотню цифр.
І знаєте, якими виявилися деякі з цих ключів?
Один із них був просто числом 4.
Не жартую. Просто чотири.
Інші — щось на кшталт 66 і 237.
Тобто установа, яка відповідає за довіру до цифрових сертифікатів, використовувала приватні ключі, які можна вгадати швидше, ніж ви встигнете допити каву.
І після всього цього я вам скажу лише одне: якщо у вас бізнес у Великій Британії, вам потрібне кіберстрахування.
Не колись. Не наступного кварталу. А ВЖЕ ЗАРАЗ.
