PHP оказался подвержен критически опасной уязвимости

PHP оказался подвержен критически опасной уязвимости

В популярном скриптиновгом языке PHP и серверном интерпретаторе для него была обнаружена открытая уязвимость, которая ставит под удар огромное количество сайтов. Хуже того, уязвимость уже используется, а автоматизированные программы пытаются выявить серверы, которые можно атаковать и захватить.

Атака, связанная с выполнением кода, угрожает лишь тем PHP-сайтам, которые используют режим работы CGI (Common Gateway Interface), говорит Дариан Энтони Патрик, консультант по безопасности компании Criticode. Те же сайты, что используют PHP в режиме FastCGI не затронуты проблемой. Сейчас практически невозможно сказать, сколько именно сайтов оказались под ударом, так как они для проведения успешной атаки должны обладать еще несколькими критериями, в частности, иметь открытыми некоторые порты.

Существенную опасность ситуации придает то обстоятельство, что полные детали бага стали доступны в интернете еще на прошлой неделе, что позволяет атакующим создать необходимые эксплоиты и направить их на целевые сайты. "Самая большая проблема здесь - это удаленное исполнение кода, а также то, что реализовать баг достаточно легко. Если атакующий выявил сайт-жертву, то этого достаточно, так как все остальное уже есть. Такая уязвимость очень серьезна", - говорит Патрик.

В компании Trustwave говорят, что у них специально установлены несколько серверов стандартной конфигурации, выполняющих роль приманок для потенциальных атакующих и некоторые из них уже были атакованы через новую уязвимость в PHP. Некоторые серверы просто обработали хакерские запросы на проверку софта на уязвимость, другие перенесли реальные попытки взлома. В целом, по данным этой компании можно говорить, что через автоматизированные средства взламывается примерно десяток сайтов ежечасно, передает cybersecurity.

После взлома на многих из них размещаются ссылки на вредоносное ПО, а также ссылки на хакерские ресурсы в США и Китае для проведения Drive-By атак. Также известно, что в популярном наборе Metasploit для сканирования на уязвимости новая атака уже описана, что позволяет атаковать целевой сервер буквально одним нажатием кнопки.

На прошлой неделе группа разработчиков PHP выпустила патч, однако его, как оказалось, также можно обойти, что делало пользователей PHP уязвимыми даже после того, как они устанавливали патч. Сейчас разработчики выпустили второй патч, многие поставщики коммерческих Linux-дистрибутивов уже предоставили своим пользователям обновления, однако далеко не все скачали и установили их.

Многие специалисты говорят, что количество PHP-серверов, работающих в режиме CGI сравнительно мало, однако с учетом популярности этого языка, а также критической опасности бага, все же рекомендуется как можно скорее установить исправление.

Microsoft убеждает: без Copilot+ вы выпадаете из будущего вычислений

Если верить Microsoft, вы прямо сейчас упускаете нечто важное. Причём не просто апгрейд, а целый «новый класс» компьютеров. Речь, конечно же, о Copilot+ PC — устройствах, которые, по версии компании, и есть будущее вычислений. А если у вас старый ноутбук или «обычный» компьютер Windows, то, дескать, сочувствуем.

В Microsoft прямо говорят: все Copilot+ PC — это Windows 11, но далеко не каждый Windows 11 — Copilot+ PC. Звучит внушительно, но что вообще делает компьютер «достойным» этого названия?

Формальные требования выглядят так:

  • от 16 ГБ ОЗУ;
  • минимальный объём SSD — 256 ГБ;
  • нейронный процессор (Neural Processing Unit, NPU) мощностью не менее 40 TOPs.

И вот тут начинается самое интересное. Даже некоторые относительно новые устройства под это определение не попадают. Например, ноутбук 2024 года с NPU на 10 TOPs — уже мимо. Не потому, что он плохой, а потому что не дотягивает до магического порога в 40 TOPs.

Для справки: NPU (Neural Processing Unit) — это отдельный чип для задач ИИ и машинного обучения. Microsoft делает на него основную ставку, аккуратно умалчивая, что современные GPU (особенно игровые) давно справляются с локальными ИИ-моделями не хуже.

Маркетинг Microsoft, как всегда, не стесняется формулировок. Copilot+ PC называют «самыми быстрыми и интеллектуальными Windows-компьютерами», которые якобы готовят пользователей к «следующему поколению вычислений».

Правда, что именно это поколение из себя представляет, компания толком не объясняет. Пока что оно выглядит как рост цен на железо, больше оперативной памяти и возможность запускать ИИ-функции локально — например, чтобы превратить себя в аниме-персонажа в Paint.

Microsoft уверяет, что такие компьютеры ускоряют работу и творчество. В качестве аргументов приводят набор функций:

  • Copilot — всегда под рукой, потому что на новых клавиатурах для него есть отдельная клавиша;
  • Recall — система, которая делает снимки экрана каждые несколько секунд и позволяет «отмотать время назад», задав вопрос вроде «над чем я работал неделю назад»;
  • Live Captions с переводом более чем с 40 языков;
  • Генерация изображений в Paint по текстовому описанию;
  • Улучшенные инструменты в «Фото»: размытие фона, удаление объектов;
  • Windows Studio Effects — автокоррекция изображения и эффектов для видеозвонков.

Часть функций действительно полезная. Другая часть звучит так, будто устройство теперь должно не столько помогать работать, сколько демонстрировать, что оно готово для ИИ.

Как бы Microsoft ни продвигала Copilot+ PC, энтузиазм разделяют не все. Некоторые производители, включая Dell, уже начинают осторожно смещать фокус обратно — на качество сборки, автономность и игровые возможности. Потому что большинству пользователей по-прежнему нужен просто хороший компьютер, а не символ готовности к ИИ-будущему.

Copilot+ PC, судя по всему, с нами надолго — если только ИИ-пузырь не начнёт сдуваться. Но пока Microsoft уверена: если вы не обновились, вы «не готовы». Даже если вам этого будущего пока не очень хочется.

На днях Microsoft всё же сделал шаг навстречу всем пользователям: экранный диктор с ИИ обещает появиться у всех пользователей Windows 11.

RSS: Новости на портале Anti-Malware.ru