Az BBC beszámolója szerint több mint egy évtizeden át észrevétlenek maradtak azok a súlyos hibák, amelyek az internet jelentős részét működtető technológia alapjait érintik. A sebezhetőségek feltárásához a mesterséges intelligencia (AI) erejére volt szükség, ami globális kiberbiztonsági riasztást váltott ki.
A problémák a PHP programozási nyelvben rejlenek, amelyet a 2000-es évek óta világszerte használnak weboldalak építésére. A kormányok és a kiberbiztonsági ügynökségek szerte a világon azonnal intézkedtek a felfedezés következményeinek kezelésére, és sürgették a weboldal-üzemeltetőket, hogy telepítsenek egy új sürgősségi javítást, vagy fontolják meg platformjaik ideiglenes leállítását.
A Wiz kiberbiztonsági cég, amelynek kutatói felfedezték a sebezhetőségeket, a hibákat az AI által valaha észlelt „legsúlyosabbnak” minősítette. Az OpenAI, amelynek technológiáját a hibák megtalálására használták, a felfedezést „az utóbbi idők egyik legmeghatározóbb biztonsági problémájának” nevezte.
Bár a legtöbb ember talán nem hallott a PHP-ről – amely a PHP: Hypertext Preprocessor rövidítése –, szinte biztosan naponta találkozik vele. A PHP számos platformot működtet, beleértve az online áruházakat, a Wikipédiát és a WordPress-t, amely a blogok és weboldalak mögött álló tartalomkezelő rendszer.
Amikor egy olyan weboldalt látogat meg, mint a Wikipédia, a PHP az a kód, amely összegyűjti a szükséges információkat, és olvasható formában jeleníti meg azokat a weben. Paul Spain, a Gorilla Cyber Security vezérigazgatója rámutatott, hogy egy olyan hiba miatt, amely lehetővé tenné a támadók számára, hogy hitelesítés nélkül átvegyék az irányítást az érintett webszerverek felett és érzékeny adatokat lopjanak el, a PHP-re épülő rendszerek kiszolgáltatottá váltak.
Az AI megkönnyítheti és felgyorsíthatja az ilyen támadásokat, becslések szerint a hiba „milliók és milliók” weboldalát érintheti.
Jill Slay, az Adelaide-i Egyetem kiberbiztonsági kutatója szerint „katasztrofális” lenne, ha hackerek vagy állami szereplők fegyverként használnák a hibát, és privát adatokat tulajdonítanának el weboldalakról. A riasztás világszerte megzavarta a szolgáltatásokat, a játékplatformoktól kezdve a kormányzati portálokon át az online fórumokig.
A Wikimedia, az online enciklopédia, a Wikipédia mögött álló szervezet, elővigyázatosságból több rendszerét is leállította. A finn kormány, az edinburgh-i tanács és a BBC is offline állapotba helyezte oldalait, a holland kiberbiztonsági ügynökség pedig szintén lekapcsolta weboldalát. A Genfi Egyetem oldalaihoz hasonlóan számos skóciai közintézmény, köztük tanácsok és egészségügyi testületek is hasonló lépésre kényszerültek. Egyes szakértők arra figyelmeztetnek, hogy a sebezhetőség a rosszul karbantartott weboldalakat, különösen a korlátozott biztonsági erőforrásokkal rendelkező kisebb szervezetek oldalait teszi nagyobb kockázatnak. Salil Kanhere, az UNSW Sydney kiberbiztonsági kutatója szerint a következő hetekben valószínűleg több kísérlet történik majd a hibák kihasználására, mivel a technikai részletek immár nyilvánosságra kerültek.
A PHP platform fejlesztői szerdán kiadták a javításokat a szoftverben évek óta megbújó sebezhetőségek orvoslására. A vállalat hangsúlyozta: „Minden PHP-felhasználót nyomatékosan kérünk az azonnali frissítésre.” A hatóságok és a biztonsági szervezetek világszerte visszhangozták ezeket a figyelmeztetéseket.
Az Egyesült Államok Nemzetbiztonsági Ügynöksége (NSA) minden PHP-t használó szervezetet arra utasított, hogy állítsák le rendszereiket, ha nem tudják azonnal javítani azokat, hozzátéve, hogy a hiba „közvetlen utat” biztosíthat a rendszer adatbázisának kihasználásához.
„Ezek a kockázatok elég súlyosak ahhoz, hogy azonnali javítást igényeljenek az Egyesült Államok kormányzati szerveinél és ügynökségeinél” – közölte az ügynökség. Az Egyesült Királyság Nemzeti Kiberbiztonsági Központja hasonló tanácsot adott, és felszólította a szervezeteket, hogy ellenőrizzék a „támadók által telepített hátsó ajtókat”. Az EU, Szingapúr és Ausztrália megfelelő szervei szintén hasonló riasztásokat adtak ki. Sanae Takaichi japán miniszterelnök arra kérte az embereket, hogy ellenőrizzék, PHP-alapúak-e nyilvánosan elérhető weboldalaik.
„Sürgős kérésünk van mindenkihez, hogy még ma este cselekedjen” – írta Takaichi az X-en. „Ha nehéz a javítócsomagot azonnal alkalmazni, a weboldalak ideiglenes felfüggesztése és hasonló intézkedések hatékony módnak tekinthetők a kockázat csökkentésére” – tette hozzá. A technológiai vállalatok is versenyt futnak rendszereik biztosításáért. Az Amazon e-kereskedelmi óriás közölte, hogy a PHP-probléma nyilvánosságra hozatala előtt napokkal több támadási kísérlet is érte. Nem ismert, hogyan szerezhettek tudomást a potenciális támadók a sebezhetőségről.
A sebezhetőségeket a Calif és a Wiz biztonsági cégek kutatói találták meg. A kutatók fejlett AI-eszközöket használtak, amelyek képesek elemezni a kódot és sokkal gyorsabban megtalálni a hibákat, mint az emberek vagy a régebbi rendszerek. „A modern szoftverek hihetetlenül összetettek, és egyes sebezhetőségek évekig észrevétlenek maradhatnak” – mondta Kanhere. „Az alapul szolgáló hibák nem voltak újak; ami megváltozott, az a képességünk, hogy megtaláljuk őket.”
A felfedezés részletei a héten kiszivárogtak az internetre, ami arra kényszerítette a PHP platform fejlesztőit, hogy sietve bejelentsék a biztonsági rést és annak hatalmas mértékét. Az incidens „rávilágít arra, hogyan fedezheti fel az AI a biztonsági réseket”, de arra is, hogyan „segítheti a támadókat a támadóeszközök és exploitok gyors fejlesztésében” – közölte az OpenAI egy blogbejegyzésben.
A ChatGPT készítője elmondta, hogy kiadott egy programot annak ellenőrzésére, hogy a PHP platform biztonságos-e. Ryan Ko, a Queenslandi Egyetem Kiberkutatási Központjának munkatársa szerint „sok ilyen hiba abból fakad, ahogyan a szoftvereket a múltban építették, amikor a funkcionalitást helyezték előtérbe, nem pedig a biztonságot”.
A weboldal-tulajdonosokat arra ösztönzik, hogy biztosítsák weboldalaikat a PHP legújabb verziójával. A PHP szoftverjavítás a legtöbb technikai csapat számára egy kis, rutinszerű javítás – mondta Spain. Az Egyesült Államok Nemzetbiztonsági Ügynöksége „fokozott éberséget” sürgetett a következő hetekben, és a szoftvergyártók frissítéseinek szoros nyomon követését tanácsolta. „Az ezekhez a rendszerekhez kapcsolódó javítások alkalmazásában tanúsított éberség kiemelten fontos” – közölték.
A felelősség elsősorban a weboldal-üzemeltetőket terheli, de a felhasználóknak is figyelniük kell az érintett szolgáltatások által kiadott biztonsági tanácsokra, például a jelszómódosítási kérésekre – mondta Kanhere.
Arra is figyelmeztetett, hogy az emberek legyenek éberek az incidens körüli nyilvánosságot kihasználó adathalász üzenetekkel szemben is.
A szakértők szerint a jövőben a szoftverfejlesztési folyamatokban a biztonsági szempontoknak már a tervezési fázisban központi szerepet kell kapniuk, hogy elkerülhetőek legyenek az ilyen jellegű, rendszerszintű kockázatok.
Maradj velünk, hogy ne maradj le a friss hírekről!
Kövesd a GlobalHir.hu-t Facebookon, iratkozz fel Telegram-csatornánkra, vagy add hozzá RSS-feedünket, és értesülj gyorsan az új cikkekről.
