PHP Foundation признала наличие структурных проблем, которые привели к задержке устранения критической уязвимости. Проблема, выявленная еще в 2024 году, долгое время оставалась без решения из-за нехватки ресурсов и сложностей в процессе принятия решений внутри команды разработчиков ядра языка.
Ситуация обострилась 11 августа после того, как OpenAI и компания Calif независимо подтвердили возможность удаленного выполнения кода. В результате PHP Foundation выпустила экстренные патчи для двух критических уязвимостей, позволявших неавторизованным злоумышленникам получать контроль над серверами.
Публикация информации об уязвимости вызвала массовое отключение государственных сервисов по всему миру, включая ресурсы в Нидерландах, Финляндии, Франции, Германии и Австралии. Wikimedia Foundation также временно ограничила работу ряда сервисов для обеспечения безопасности инфраструктуры.
В криптоиндустрии компания SlowMist провела проверку использования PHP, обнаружив 793 уязвимых домена из 1488 проанализированных. В то же время представители Coinbase и BitGo заявили, что их платформы не затронуты данной проблемой. Сооснователь Binance Чанпэн Чжао призвал пользователей к осторожности.
Для помощи администраторам OpenAI выпустила инструмент на GitHub, позволяющий проверять версии PHP на наличие уязвимостей. На текущий момент команда безопасности PHP заявила, что не зафиксировала случаев реального использования данных уязвимостей злоумышленниками.
