21 октября 2026 года проект PHP выпустил экстренное исправление для PHP2Shell — двух критических уязвимостей удаленного выполнения кода. Релиз был запланирован на четверг, 22 октября. Однако он вышел в среду, поскольку в прошлый понедельник пост на Hacker News нарушил режим эмбарго, один из вендоров публично подтвердил наличие ошибок в течение нескольких часов, исследователь опубликовал реконструкцию до того, как появился патч, а попытки эксплуатации начались еще до того, как большинство администраторов узнали о необходимости установки обновлений.
По оценкам, число подвергшихся риску хостов составляет от двух до более чем пяти миллионов — в зависимости от методики подсчета. Сама утечка была лишь одной из проблем. Однако именно последовавшее за ней поведение заслуживает отдельного обсуждения: стремление лиц, обладающих конфиденциальной информацией, первыми опубликовать новость.
Никакой спешки быть не должно, поскольку индустрия потратила 25 лет на создание процессов ровно для таких сценариев. Координированное раскрытие информации дает мейнтейнеру время на устранение уязвимости до того, как весь мир узнает, что именно нужно атаковать. Группы доверия и списки рассылки эмбарго дают сторонним вендорам достаточно времени для подготовки средств защиты к моменту выхода патча.
Протокол Traffic Light Protocol (TLP), созданный в 1999 году, предоставляет всем участникам этой цепочки общий словарь для понимания того, кто и что может знать, и в какое именно время. Этот процесс несовершенен и юридически не обязываен. Он работает потому, что участники сами этого хотят, и потому, что каждый из них понимает: иногда он будет обладать информацией, которую пока нельзя разглашать.
Если быть точным, вендор, подтвердивший утечку, воздержался от публикации технических деталей до выхода патча, и это было правильным решением. Независимый исследователь, опубликовавший proof of concept до релиза, так не поступил. Это различие принципиально, и в индустрии существует инфраструктура ровно для такого сценария, которую стоит уважать, даже если это стоит вам новостного цикла. Сдержанность в вопросах согласования того, чем делятся, когда об этом сообщают и как рекомендуют устранять уязвимости — это основополагающий принцип, которого придерживаются борцы с угрозами ради общественного блага.
Именно этой сдержанности посвящен данный блог-пост. Реагирование на уязвимости — командный вид спорта. Мейнтейнеры, исследователи, вендоры платформ, хостинг-провайдеры и разработчики средств безопасности в большинстве контекстов являются конкурентами, но в условиях эмбарго они выступают единым фронтом против злоумышленников.
Результатом становится рынок, который безопаснее для каждого участника, чем он мог бы сделать его в одиночку. В тот момент, когда участник начинает рассматривать ранний доступ как маркетинговый инструмент, пытаясь первым подтвердить информацию, воспроизвести ее или опубликовать, игра становится с нулевой суммой: бренд этого вендора получает новостной цикл, а каждый клиент за пределами этого круга расплачивается часами уязвимости.
PHP2Shell — это свежий пример того, во сколько обходится эта гонка и почему протокол заслуживает уважения, даже если его соблюдение означает молчание в то время, как кто-то другой поднимает шум.
Для чего нужен TLP
Протокол TLP существует для того, чтобы люди, которые не доверяют друг другу в коммерческом плане, все равно могли делиться информацией об активной угрозе. Он был создан в 1999 году Национальным координационным центром по безопасности инфраструктуры Великобритании (NISCC), стандартизирован Форумом групп реагирования на инциденты и безопасности (FIRST) в 2015 году и обновлен до версии 2.0 в августе 2022 года после того, как рабочая группа, состоящая более чем из 50 специалистов по реагированию на инциденты, переписала определения для большей ясности (релиз FIRST, памятка CERT-EU).
U.S. Cybersecurity and Infrastructure Security Agency (CISA) приняла версию 2.0 для обмена данными правительства США, Центры обмена и анализа информации (ISACs) приняли ее для обмена данными между секторами, а членство в FIRST обусловлено ее использованием.
Четыре категории TLP просты, и в этой простоте заключается весь смысл (Таблица 1).
TLP:RED
Только для указанных получателей
Не подлежит разглашению — обсуждается только на брифинге для людей, находящихся в комнате
TLP:AMBER+STRICT
Только собственная организация получателя
Без клиентов, без партнеров, без субподрядчиков
TLP:AMBER
Организация получателя и ее клиенты на основе необходимости знать
Обычная метка эмбарго для деталей уязвимостей до выхода патча
TLP:GREEN
Сообщество получателя
Коллеги и партнерские организации, запрещено для публичных каналов
TLP:CLEAR
Все желающие
(Ранее TLP:WHITE) Применяется стандартное авторское право, никаких других ограничений
Стандарт утверждает две вещи, о которых люди регулярно забывают. Во-первых, категорию устанавливает источник, и только он может ее изменить. Получатель, который решает, что информация «теперь в общем-то публичная», и меняет метку, не понижает ее уровень. Он ее нарушает.
Во-вторых, TLP — это протокол обмена информацией, а не схема классификации или инструмент юридического контроля. У него нет механизмов принуждения, кроме репутации и сохранения доступа. В этом заключается особенность, и вот что это значит: протокол работает только среди тех, кто хочет, чтобы он работал, и он терпит неудачу в тот момент, когда участник решает, что его положение на рынке важнее его положения в сообществе.
Именно этот второй пункт упускает позиция «первым к защите». Ценность нахождения в списке эмбарго заключается в том, что вы получаете информацию заранее, чтобы ваши клиенты были защищены к моменту выхода патча. Ценность не в том, что вы получаете информацию заранее, чтобы заявить всему миру, что получили ее заранее. Это разные продукты. Один создан для того, для чего строился список. Другой — это то, что из него извлекает маркетинговая команда.
Чего стоило нарушение дисциплины
Механизм нарушения дисциплины в каждом случае одинаков. Конфиденциальная информация покидала круг, которому она была доверена, и за это расплачивались люди за пределами этого круга (Таблица 2).
2014
Раннее уведомление получили несколько компаний, выбранных первооткрывателями, а не те, кто был в списке предварительного раскрытия дистрибьютора; Cloudflare выпустила патч и опубликовала в блоге информацию о том, что была предупреждена на 12 дней раньше
Red Hat, Debian, Ubuntu и большая часть индустрии хостинга узнали об уязвимости во время публичного релиза и провели несколько дней под угрозой, пока первые получатели рекламировали свою безопасность. В ветке oss-security в реальном времени фиксируется реакция Red Hat (Openwall). Бренд, логотип и домен появились раньше координированного бюллетеня.
2018
Шестимесячное эмбарго рухнуло на шесть дней раньше после того, как пресса собрала информацию по кусочкам из публичных коммитов ядра; Google опубликовала данные досрочно, сославшись на растущие спекуляции
Вендоры, планировавшие релиз на согласованную дату (шесть дней спустя), все еще проводили тестирование, когда детали стали общедоступными (All About Circuits). Облачные провайдеры, не входящие в список уровня Tier 1, узнали об этом из новостей (панель LWN). Четыре члена Палаты представителей США направили письма компаниям Amazon, AMD, Apple, Arm, Google, Intel и Microsoft с вопросом, работают ли эмбарго вообще.
2021
Обратный случай: исследователь из Alibaba сообщил в Apache 24 ноября в рамках координированного раскрытия, и детали попали на GitHub 30 ноября, до выхода патча 6 декабря
Министерство промышленности и информатизации Китая отстранило Alibaba Cloud от участия в своей платформе обмена информацией об угрозах на шесть месяцев за то, что компания не сообщила об уязвимости государству в первую очередь. Это демонстрирует, что происходит, когда правительство решает, что круг обмена информацией должен замыкаться на нем самом: информатор наказывается за правильный поступок, а каждый китайский партнер MAPP теперь несет противоречивые юридические обязательства (The Register).
В этой таблице прослеживается определенная закономерность: ущерб падает за пределами круга доверия. В каждом случае первоначальные получатели не пострадали. Клиенты Red Hat и облачные провайдеры второго уровня — пострадали. Эмбарго держится не потому, что оно строго соблюдается, а потому, что люди внутри него в основном предпочитают его уважать.
Heartbleed заслуживает еще одного предложения, поскольку это ближайший аналог текущей ситуации. Никто не сливал эксплойт. Небольшая группа получила предварительное предупреждение по неформальным каналам, воспользовалась им должным образом, а затем объявила всем, что воспользовалась им должным образом — в то время как остальная часть индустрии все еще читала бюллетень. Это позиция «первым к защите» в ее чистейшем проявлении, и архив oss-security точно показывает, что думали об этом дистрибьюторы, на которых легла реальная нагрузка по выпуску патчей.
Как выглядит уважение к процессу
Ничто из этого не требует молчания. Это требует соблюдения последовательности. Семи практикам, приведенным ниже, не первый день; это то, о чем стандарт просит и так, просто переформулированное под маркетинговый календарь.
- Источник задает метку и таймер. Если вы получили информацию в рамках TLP:AMBER, она остается AMBER, пока источник не заявит об обратном. Утекшая где-то еще информация не меняет вашу метку. Сопровождающий может решить ускорить процесс, но вы не можете решать за него.
Источник задает метку и таймер. Если вы получили информацию в рамках TLP:AMBER, она остается AMBER, пока источник не заявит об обратном. Утекшая где-то еще информация не меняет вашу метку. Сопровождающий может решить ускорить процесс, но вы не можете решать за него.
- Сначала защищай, потом публикуй, именно в таком порядке и с временным зазором. Отправьте сигнатуру, правило, виртуальный патч. Сообщите своим клиентам в частном порядке, что они защищены. Однако в этом процессе есть критически важный аспект. Партнеры по минимизации угроз все равно должны соблюдать ограничения эмбарго и не разглашать конфиденциальные сведения об уязвимостях до их публичного релиза. На практике это означает, что у клиентов не должно быть доступа к исходной логике обнаружения. Кроме того, любые образцы доказательств, полученные в результате нового обнаружения, должны быть минимальными и не раскрывать данные, которые можно использовать для полной реконструкции эксплойта (см. пункт 4). Публичная публикация ожидает бюллетеня вендора и содержит ссылку на бюллетень, а не заменяет его.
Сначала защищай, потом публикуй, именно в таком порядке и с временным зазором. Отправьте сигнатуру, правило, виртуальный патч. Сообщите своим клиентам в частном порядке, что они защищены. Однако в этом процессе есть критически важный аспект. Партнеры по минимизации угроз все равно должны соблюдать ограничения эмбарго и не разглашать конфиденциальные сведения об уязвимостях до их публичного релиза. На практике это означает, что у клиентов не должно быть доступа к исходной логике обнаружения. Кроме того, любые образцы доказательств, полученные в результате нового обнаружения, должны быть минимальными и не раскрывать данные, которые можно использовать для полной реконструкции эксплойта (см. пункт 4). Публичная публикация ожидает бюллетеня вендора и содержит ссылку на бюллетень, а не заменяет его.
- Подтверждайте существование только после того, как это сделал источник. Когда разработчик объявил о релизе, фраза «Это реально, патч выйдет в 14:00 UTC» является полезным усилением. Заявление «Мы это воспроизвели» до появления исправления говорит злоумышленникам, что утекших деталей достаточно для работы.
Подтверждайте существование только после того, как это сделал источник. Когда разработчик объявил о релизе, фраза «Это реально, патч выйдет в 14:00 UTC» является полезным усилением. Заявление «Мы это воспроизвели» до появления исправления говорит злоумышленникам, что утекших деталей достаточно для работы.
- Никаких реконструкций, никаких доказательств концепции, никаких причин возникновения до исправления. Эту границу переступили в случае с PHP2Shell. Не имеет значения, является ли публикатор вендором или отдельным лицом с аудиторией.
Никаких реконструкций, никаких доказательств концепции, никаких причин возникновения до исправления. Эту границу переступили в случае с PHP2Shell. Не имеет значения, является ли публикатор вендором или отдельным лицом с аудиторией.
- Никаких номеров CVE до их публикации CNA. Распространение идентификаторов до того, как CVE.org присвоил их, приводит к тому, что ваше предположение попадает в чужие бюллетени. По крайней мере один раз в случае с PHP2Shell это было ошибкой.
Никаких номеров CVE до их публикации CNA. Распространение идентификаторов до того, как CVE.org присвоил их, приводит к тому, что ваше предположение попадает в чужие бюллетени. По крайней мере один раз в случае с PHP2Shell это было ошибкой.
- Если вы оказались первыми и ошиблись, скажите об этом там же, где были первыми. Исправления, запрятанные в журнале обновлений, не аннулируют бюллетени, которые скопировали оригинал.
Если вы оказались первыми и ошиблись, скажите об этом там же, где были первыми. Исправления, запрятанные в журнале обновлений, не аннулируют бюллетени, которые скопировали оригинал.
- Оценивайте команду по уровню защиты на момент выпуска патча, а не по времени публикации в блоге. Если KPI заключается в том, чтобы опубликоваться первыми, поведение сотрудников будет следовать этому KPI. Измените KPI.
Оценивайте команду по уровню защиты на момент выпуска патча, а не по времени публикации в блоге. Если KPI заключается в том, чтобы опубликоваться первыми, поведение сотрудников будет следовать этому KPI. Измените KPI.
И небольшое примечание для вендоров, которые делают это правильно, потому что они существуют. Подтверждение того, что утечка была реальной, сокрытие деталей и распространение рекомендаций по обнаружению вместе с бюллетенем разработчика — это правильный подход. Дисциплина заключается не в том, чтобы молчать. Она заключается в том, чтобы не говорить ничего такого, до чего авторы эксплойтов не могли бы додуматься сами.
То, что действительно поставлено на карту
У протокола TLP нет зубов, потому что они ему никогда не были нужны. Это обещание, которое конкуренты дают друг другу, чтобы люди, которых они оба обслуживают, были в большей безопасности, чем каждый из них мог бы обеспечить в одиночку. Каждая утечка в Таблице 2 была совершена кем-то, кому доверились, дав это обещание, и каждая из них закончилась сужением круга общения, более поздним информированием или программой, которая чуть не закрылась. Заплатившие клиенты никогда не были теми, кто нарушал протокол.
Будет проведен разбор инцидента с утечкой PHP2Shell. Это стоит сделать. Более полезный вопрос для индустрии заключается в том, сколько из нас, увидев утечку, потянулись к клавиатуре раньше, чем к стандарту.
Если первыми защищать — значит первыми публиковать, протокол теряет участника, а следующее эмбарго становится короче. Если это значит первыми защитить своих клиентов и последними говорить об этом, протокол приобретает участника, и следующее эмбарго выдерживается. Выберите то, что, по вашему мнению, выбрали бы другие вендоры из списка.
Источники
PHP2Shell, октябрь 2026 г.
Количество уязвимостей
Стандарт TLP
Документированные случаи
Об авторе
Akamai Security Intelligence Group
Akamai SIG — это глобальная команда исследователей, инженеров, стратегов и специалистов по работе с данными мирового уровня, обладающих широким спектром экспертных знаний и специализаций в области безопасности. Нашими источниками данных являются колоссальная облачная инфраструктура Akamai, открытые источники, результаты сотрудничества с третьими сторонами и данные разведки в даркнете. Мы также разработали собственные алгоритмы и инструменты, которые помогают нам проводить исследования и поддерживать актуальность решений безопасности Akamai.
