Vulnerabilitatea PHP care a zguduit internetul: tot ce trebuie să știi

Ce este PHP și de ce contează securitatea lui?

PHP este unul dintre cele mai utilizate limbaje de scripting server-side din lume, alimentând peste 75% din site-urile web cunoscute, inclusiv WordPress, Wikipedia și Facebook (în primii săi ani). Tocmai din acest motiv, o vulnerabilitate critică în nucleul PHP nu este doar o problemă tehnică — este o catastrofă globală în devenire. Când un limbaj atât de răspândit are o breșă de securitate majoră, consecințele sunt resimțite de milioane de utilizatori și companii din întreaga lume.

CVE-2024-4577 — Vulnerabilitatea PHP care a distrus liniștea internetului

În iunie 2024, cercetătorii de securitate de la DEVCORE au descoperit o vulnerabilitate critică în PHP, catalogată ca CVE-2024-4577. Aceasta a primit un scor CVSS de 9.8 din 10 — aproape perfect în ceea ce privește gravitatea. Vulnerabilitatea afecta PHP atunci când rula în modul CGI pe sisteme Windows și permitea atacatorilor să execute cod arbitrar de la distanță fără nicio autentificare. Cu alte cuvinte, un hacker putea prelua controlul complet al unui server vulnerabil cu o singură cerere HTTP malițioasă.

Cum funcționa atacul?

Rădăcina problemei se află în modul în care Windows gestionează caracterele Unicode și cum PHP le interpreta în linia de comandă CGI. Prin injectarea unor secvențe de caractere speciale (în special caracterul soft hyphen — 0xAD), un atacator putea ocoli protecțiile existente și injecta argumente arbitrare în interpretorul PHP. Aceasta era, practic, o reîncarnare a infamei vulnerabilități CVE-2012-1823, despre care se credea că fusese rezolvată definitiv cu peste un deceniu în urmă. Ironia? Patch-ul din 2012 nu a acoperit toate cazurile edge pe Windows din cauza particularităților sistemului de operare.

„O vulnerabilitate pe care credeam că am rezolvat-o acum 12 ani a revenit, mai puternică și mai periculoasă ca niciodată.

Cine a fost afectat?

Exploatarea în sălbăticie: atacuri reale

La scurt timp după divulgarea publică, au început să apară rapoarte despre exploatarea activă a vulnerabilității. Grupuri de hackeri, inclusiv actori sponsorizați de state, au început să scaneze internetul în masă în căutarea serverelor vulnerabile. Au fost raportate atacuri ransomware, instalări de cryptominere și backdoor-uri persistente. TellYouThePass, un grup de ransomware notori, a fost unul dintre primii care au integrat exploit-ul CVE-2024-4577 în arsenalul lor, compromițând sute de servere în ore de la publicarea vulnerabilității.

Cum te protejezi?

Lecțiile pe care trebuie să le învățăm

CVE-2024-4577 ne reamintește că în securitatea cibernetică, nicio vulnerabilitate nu este cu adevărat „rezolvată

Securitatea nu este un produs, este un proces continuu. O vulnerabilitate veche poate deveni cea mai nouă amenințare dacă nu ești vigilent.