Negli ultimi due mesi, abbiamo guidato una coalizione di manutentori, ricercatori e fornitori di sicurezza per affrontare vulnerabilità critiche in PHP, un linguaggio di programmazione open-source utilizzato per far funzionare siti web e applicazioni web. Calif ha identificato un grave difetto utilizzando GPT-5.6 Sol nell'ambito della nostra iniziativa Patch the Planet, con Wiz che ha indipendentemente scoperto e segnalato entrambe le vulnerabilità. I manutentori di PHP hanno guidato le correzioni e il rilascio, con i nostri team e partner come Wiz, Cloudflare e altri che hanno contribuito con ricerche, supporto tecnico e coordinamento per preparare protezioni prima della divulgazione.
Per le organizzazioni che utilizzano PHP, la priorità ora è applicare le correzioni. Stiamo condividendo un verificatore di versione PHP come abilità Codex per aiutare gli operatori a identificare le versioni di PHP potenzialmente vulnerabili e, insieme alle linee guida di PHP e dei loro fornitori, determinare quali aggiornamenti applicare.
Data la gravità di questi difetti e l'uso diffuso di PHP, consideriamo questo uno dei problemi di sicurezza più rilevanti di recente memoria. Sottolinea come l'IA possa scoprire falle di sicurezza con un impatto su scala internet, ma le stesse capacità possono anche aiutare gli attaccanti a sviluppare rapidamente strumenti offensivi ed exploit.
Secondo le nostre conoscenze, l'IA di frontiera ha scoperto queste vulnerabilità prima degli attaccanti, aprendo una finestra per i difensori per preparare correzioni e protezioni prima della divulgazione.
Per aiutare più difensori a utilizzare queste capacità, abbiamo impegnato 1 miliardo di dollari in accesso sussidiato Daybreak attraverso Daybreak per i difensori in prima linea, focalizzato sulle organizzazioni con risorse di sicurezza limitate che proteggono servizi essenziali.
Seppur significative, queste vulnerabilità sono solo alcune delle numerose che abbiamo già trovato e stiamo lavorando per risolvere, e ci aspettiamo che scoperta simili aumentino bruscamente nei prossimi mesi. Basandoci sulla nostra esperienza finora, stiamo condividendo un approccio proposto, appropriato per l'era dell'IA, per rispondere a vulnerabilità critiche in software ampiamente utilizzati, e chiediamo alla comunità della sicurezza di aiutare a migliorare questo framework. Esso unisce i nostri modelli, l'esperienza di sicurezza e i manutentori per aiutare a trasformare le scoperte in protezione e costruire una risposta che possa scalare man mano che le capacità dell'IA avanzano.
Coordinare una risposta globale
Portare una correzione in uso può significare adattarla per versioni più vecchie, preparare mitigazioni da parte dei fornitori e aggiornare i sistemi in molte organizzazioni. Un processo ripetibile aiuta questi team ad agire rapidamente man mano che vengono scoperte più vulnerabilità.
Attraverso Patch the Planet, abbiamo contribuito con esperienza di sicurezza e accesso ai modelli per supportare la risposta di PHP e abbiamo lavorato con i manutentori e i partner di ricerca per testare le correzioni e preparare le linee guida. Abbiamo anche aiutato a coordinare con i fornitori di infrastrutture sulle protezioni per i sistemi interessati e ci siamo impegnati con le agenzie governative per la cybersicurezza per aiutare a far raggiungere le linee guida alle organizzazioni critiche. Questo ha supportato la risposta guidata dai manutentori e ha aiutato altri difensori a prepararsi.
Per alcune scoperte, i ricercatori possono lavorare direttamente con i manutentori del software per indagare sul problema e sviluppare una correzione. Altre richiedono una risposta più ampia perché colpiscono molti prodotti o perché i distributori e i fornitori di servizi hanno bisogno di tempo (che potrebbe essere scarso se le capacità di frontiera non sono troppo avanti rispetto a quelle ampiamente disponibili) per preparare aggiornamenti e protezioni. In questi casi, il framework proposto può aiutare i manutentori a identificare chi deve essere coinvolto e a coordinare il lavoro. La risposta può coinvolgere cinque fasi:
Validare e correggere la vulnerabilità upstream
Il manutentore, i ricercatori e i partner tecnici essenziali confermano la scoperta, valutano il suo impatto e sviluppano e testano una correzione. Questo processo include test avversari con modelli di frontiera per cercare modi per aggirare la patch e varianti correlate della vulnerabilità.
Dare alle organizzazioni interessate il tempo di agire
Proponiamo un framework per considerare quali organizzazioni hanno bisogno di informazioni anticipate per preparare protezioni, mentre i manutentori decidono chi coinvolgere. Aiutiamo con l'outreach, gli accordi di condivisione delle informazioni e la coordinazione tra i team. Un distributore potrebbe adattare una correzione per una versione più vecchia, un provider di hosting potrebbe testare una mitigazione e un provider di sicurezza potrebbe preparare misure di rilevamento o prevenzione, incluse le regole del firewall per applicazioni web (WAF).
Coordinarsi con i partner governativi per aiutare a proteggere i sistemi critici
Le agenzie governative svolgono un ruolo essenziale nel coordinare una risposta più ampia e nel far raggiungere le linee guida di sicurezza alle organizzazioni responsabili delle infrastrutture critiche e di altri servizi essenziali. Nel caso di PHP, abbiamo lavorato, in collaborazione con i nostri partner, per impegnarci con diverse parti del governo degli Stati Uniti, tra cui la Super Intelligence Force della Casa Bianca, l'Ufficio del Direttore Nazionale per la Cibernetica (ONCD), l'Agenzia per la Sicurezza delle Infrastrutture e la Cibernetica (CISA), nonché con partner internazionali per supportare questo sforzo.
Preparare aggiornamenti in tutti i prodotti interessati
Man mano che la correzione, le linee guida e i piani di divulgazione diventano stabili, i manutentori possono coinvolgere ulteriori distributori, provider di hosting e servizi, team di risposta e operatori per preparare aggiornamenti e affrontare le lacune di copertura.
Una volta disponibile una patch, pubblicare linee guida e supportare il deployment
Le linee guida pubbliche aiutano le persone a valutare la loro esposizione, trovare aggiornamenti autoritativi o mitigazioni intermedie e verificare che una correzione sia in esecuzione. La risposta continua man mano che gli operatori implementano aggiornamenti e segnalano dove hanno bisogno di aiuto.
Il framework proposto considera il ruolo protettivo di un'organizzazione, inclusa la protezione dei propri sistemi e clienti, il tempo necessario per agire e la sua capacità di gestire informazioni sensibili. Gli stessi criteri si applicherebbero a organizzazioni comparabili, con i manutentori che decidono chi coinvolgere prima della divulgazione.
Ogni partecipante riceve le informazioni necessarie per svolgere il proprio lavoro protettivo, dai log di rete con indicatori di compromissione a proof-of-concept exploit di lavoro più sensibili. Anche dettagli limitati possono rivelare una vulnerabilità, quindi pesiamo il rischio di condividerli contro la protezione che consentono.
I team che seguono questo framework lavorerebbero con i manutentori per dare ai difensori il tempo di prepararsi e rivalutare la tempistica se ci fosse uno sfruttamento attivo in natura, una perdita, una patch pubblica rivelatrice o un aumento del rischio per gli utenti da una rimediazione ritardata.
Il sito web di Patch the Planet riunisce le divulgazioni pubbliche e le linee guida per aiutare gli operatori a identificare i sistemi interessati, trovare l'aggiornamento giusto e verificare che il software aggiornato funzioni correttamente. Per PHP, punta alla patch ufficiale e alle istruzioni di aggiornamento dei manutentori e alla ricerca tecnica dei nostri partner. Le linee guida coprono anche le mitigazioni intermedie, quando coinvolgere un provider o un esperto e il backup e il recupero. Le protezioni intermedie possono ridurre il rischio, ma chiariremo i loro limiti e i compromessi operativi.
Gli operatori possono utilizzare le linee guida di CISA sulla prioritizzazione e la rimediazione per valutare la rapidità con cui agire in base all'esposizione, allo sfruttamento e all'impatto potenziale. Questo potrebbe significare patching di emergenza, mitigazione immediata o un aggiornamento pianificato, insieme a un triage forense se necessario per valutare se i sistemi siano già stati compromessi. Le priorità dovrebbero essere rivalutate man mano che le condizioni cambiano, con un percorso chiaro verso una rimediazione duratura.
Dare ai manutentori la capacità e le risorse per rispondere
La coordinazione globale dipende dalle persone che mantengono il software. Molti progetti sono gestiti da piccole squadre che revisionano