PHP снова протёк — и счёт за ваше спокойствие уже выписан

Cloudflare зафиксировала миллионы атак на сайты по всему миру из-за уязвимости в PHP, как сообщает VC.ru.

Уязвимость в PHP, на котором до сих пор стоит изрядная часть интернета, выдала «миллионы» атак — цифру озвучила компания, чей бизнес состоит в продаже защиты от атак.

PHP придумывали для домашних страничек с гостевой книгой, а теперь на нём висит магазин, запись к врачу и оплата квартиры. Дыру в таком фундаменте находят регулярно, а чинят неохотно, потому что обновление — это риск уронить то, что пока работает. Интернет держится на версии, которую никто не решается тронуть.

Выиграл тот, кто считает атаки: округлённое «миллионы» не проверить, зато оно отлично звучит в пресс-релизе. Каждое такое сообщение — бесплатная реклама защиты, продаваемой тем же, кто озвучил масштаб угрозы. Считать угрозу и продавать от неё таблетку — удобная позиция, при которой дыр никогда не станет меньше.

Видел админку на движке, которому давно пора на пенсию; рядом с версией PHP в конфиге висел комментарий «не обновлять, всё работает». Этот комментарий объясняет про безопасность больше, чем любой отчёт с графиками.

Вам предлагают проверить, не лежит ли что-то важное на скомпрометированном ресурсе — то есть переложить ответственность на владельца сайта, который узнал о проблеме из новости. Пока одни считают атаки, другие считают выручку, а третьи просто надеются, что их хостинг заметит раньше.

Дыры не чинят — их продают. Дважды: сначала тому, кто не обновился, потом тому, кто испугался.