ИИ помог найти критические уязвимости в языке программирования

В одном из языков программирования для сайтов нашли две опасные бреши, через которые сайты можно взломать без ввода пароля. Одну из них выявила модель искусственного интеллекта. Разработчики выпустили исправление 21 октября.

Уязвимостям присвоены идентификационные номера, по международной шкале оценки угроз каждая получила 9,2 балла из 10. Проблема касается всех версий языка начиная с 5.4, а исследователи безопасности указывают на версии 5, 6, 7 и 8. Через уязвимости злоумышленники могут удалённо запускать вредоносный код и получать доступ к памяти сервера, где хранятся пароли и другие данные. Риску подвержены ресурсы, построенные на популярных системах управления сайтом.

Поиском и устранением проблем разработчики и исследователи занимались два месяца: бреши нашли ещё в конце августа, но раскрыли информацию только после выхода патча 21 октября. Обновление подготовлено для версий 8.2–8.5, скачать его можно с официального сайта разработчиков языка. Владельцам более ранних версий патч не положен — им советуют перейти на поддерживаемую ветку.

Канал о безопасности «1С-Битрикс» обратился к администраторам сайтов на «1С-Битрикс: Управление сайтом» и коробочном «Битрикс24» с просьбой как можно скорее обновить язык программирования на серверах. В канале предупредили, что встречающийся в публикациях способ защиты через отключение одного из параметров не доказал эффективность против обеих уязвимостей и не может заменить установку официального обновления.

По словам руководителя центра разработки больших языковых моделей Валентина Малых, в зоне риска в России находятся десятки тысяч сайтов. Эксперт по инновационному развитию в сфере кибербезопасности Лука Сафонов назвал более масштабную цифру — сотни тысяч ресурсов Рунета. Вечером 21 октября крупные хостинг-провайдеры начали рассылать клиентам предупреждения об угрозе, часть сайтов на время остановила работу.

Ранее в новостях: Эксперт назвал две группы подростков, уязвимых перед мошенниками

Иллюстрация: ИА «Ньюсрум24»