Вразливості PHP і системні кіберризики для страховиків

Недавнє виявлення критичних вразливостей у PHP — мові програмування, що працює позаду 70% веб-сайтів планети, — підняло тривогу серед страховиків та рейтингових агентств щодо накопичення системних кіберризиків. Рейтингова агенція AM Best, аналітична фірма CyberCube та Moody's Ratings одностайно наголосили: штучний інтелект прискорює появу та експлуатацію таких вразливостей, створюючи умови для одномоментного поразження десятків тисяч організацій. Це змушує страховиків переглядати свої підходи до оцінювання кіберризику та розширення покриття.

Що таке PHP2Shell і яких збитків очікувати

Дві критичні вразливості в PHP, позначені як PHP2Shell, дозволяють зловмисникам отримати контроль над веб-серверами, викрасти паролі та конфіденційні дані, а також установити «чорні входи» для подальшого доступу. 21 жовтня супроводжувачі PHP випустили термінові виправлення, але CyberCube виявила, що спроби атак досягли мільйонів за годинами. Хоча станом на 23 жовтня жодних підтверджених взломів не зареєстровано, аналітики попереджають: успішні вторгнення залишають мінімальні сліди, а претензії можуть з'явитися тижнями чи місяцями пізніше.

CyberCube передбачає, що збитки виникнуть насамперед від середніх та великих підприємств, чиї сервери PHP залишилися невідновленими. На відміну від одноразової катастрофи, це — «довгохвостий ризик», який поступово знизиться разом з розгортанням виправлень. AM Best попереджає про «довгий хвіст» інциденту: зловмисники можуть чекати тижні, перш ніж активізувати краденні креденціали, а судові позови ще розтягуватимуть процес.

Як AI змінює ландшафт кіберзагроз

Штучний інтелект радикально скорочує часову дистанцію між виявленням вразливості та її експлуатацією. Вільям Альтман, директор служб кіберзагроз CyberCube, відзначив: код, що залишався вразливим понад десять років, став працюючим експлойтом завдяки AI. Це створює «перегонку» між розробниками виправлень та кіберзлочинцями, де останні виграють часом.

Moody's Ratings додає тривожну статистику: медіанна компанія, оцінена агентством, витрачає 87 днів на усунення половини відомих експлуатованих вразливостей. Цей розрив між швидкістю атак та реакцією організацій створює ідеальні умови для масштабних інцидентів. Старший віцепрезидент Moody's Лерой Террелонж підкреслив: AI значно знижує експертизу та зусилля, необхідні для озброєння вразливостей, що множить кількість потенційних атакувальників.

Концентрація ризику через залежність від третіх сторін

Одна з найбільш тривожних вразливостей — що PHP часто вбудована в продукти, які організації не можуть самостійно виправити. Це явище розповсюджується на ширший спектр третіх сторін. Moody's дослідила, що частка організацій, які постраждали від інциденту через постачальника чи партнера, подвоїлася з 19% (2020 рік) до 39% (2025 рік). Таке зростання концентрації ризику — системна загроза для всього страхового портфеля.

AM Best зазначила, що цей інцидент демонструє значну прогалину між економічними збитками (включно із незастрахованими) та покриттям страховиків. Це підкреслює критичну роль кіберстрахування та послуг, пов'язаних з криміналістичним аналізом, управлінням виправлень та перевіркою захисту. Органи регулювання в ЄС та США (включно з SEC та Міністерством юстиції США) вже розслідують інцидент, що може призвести до претензій за напрямком страхування директорів та посадових осіб (D&O).

Практичні наслідки для читачів

Якщо ви керуєте веб-сайтом або організацією, що використовує PHP: одразу переустановіть вихідне виправлення від 21 жовтня або деактивуйте PHP-сервери до цього. Якщо ви представник компанії-постачальника, перевірте, чи PHP вбудована в ваші продукти, і негайно повідомте клієнтів. Для осіб, що приймають рішення щодо страхування: переглядайте полісу кіберстрахування — прогалина між дійсними збитками та страховим покриттям буде розширюватися.