SuperTuxKart отключила часть онлайн-сервисов, выключив сервер, который их обслуживал: разработчики не захотели рисковать его взломом через уязвимость PHP2Shell.
Игра — не единственный проект, временно отключивший системы ради защиты от этой уязвимости. Так же поступили Wikimedia, DeviantArt и сайты государственных учреждений.
Пока сервер отключён, игроки не могут сбросить пароль онлайн-аккаунта, проверять рейтинги и загружать новые дополнения. При этом работают локальные режимы, в том числе игра на разделённом экране и по локальной сети. Онлайн-игра и загрузка дополнений тоже доступны, но только зарегистрированным пользователям.
SuperTuxKart сообщила, что попытки использовать PHP2Shell фиксировали ещё до публичного раскрытия уязвимости. По словам разработчиков, собственный сервер проекта не был взломан. Однако тем, кто использует пароль от SuperTuxKart Online на других сайтах, рекомендуется его сменить.
Старый сервер работал на устаревшей версии PHP. Переход на более новую версию потребовал бы изменений в коде, которому больше десяти лет. Проверившая часть кода компания по информационной безопасности рекомендовала не возвращать сервер в сеть без переписывания.
Теперь SuperTuxKart переносит серверную часть на Python и отказывается от PHP. Разработчики не собираются использовать ИИ для написания кода: человек должен проверить и прочитать его, а затем одобрить, чтобы понимать, как он работает.
На восстановление полного набора функций нового сервера потребуется много недель инженерной работы. Пока доступны онлайн-игра и загрузка дополнений для зарегистрированных пользователей, но остаются и серьёзные ограничения — например, нельзя создавать аккаунты. Перед переносом аккаунтов новый сервер должен пройти аудит безопасности.
SuperTuxKart, как и многие проекты с открытым исходным кодом, зависит от добровольцев. Чтобы завершить работу над новым сервером, команда запустила сбор средств с целью собрать 4000 долларов. Компания по информационной безопасности удвоит пожертвования, внеся инженерное время.