Dvije kritične rupe u PHP-u obaraju sajtove širom svijeta, otkrila ih vještačka inteligencija

Dio interneta u srijedu je ostao nedostupan nakon što su u programskom jeziku PHP, na kojem radi veliki broj web stranica, otkrivene dvije kritične sigurnosne ranjivosti. Zakrpa je objavljena u srijedu poslijepodne, a agencije za cyber sigurnost iz više država savjetovale su organizacijama koje je ne mogu odmah primijeniti da razmotre privremeno gašenje svojih sajtova.

Na taj korak odlučila se finska vlada, koja je privremeno ugasila svoje javne web servise, kao i holandska agencija za cyber sigurnost, koja je zbog ranjivosti skinula vlastitu stranicu. U Holandiji su nedostupni i sajt Nacionalnog instituta za javno zdravlje i okoliš te stranica Tweede Kamera, donjeg doma parlamenta. Nedostupna je i web stranica gradskog vijeća Edinburgha.

Nedostupne su i stranice nekoliko emisija BBC-ja, među njima Doctor Who i The Traitors, ali nije potvrđeno da je to povezano s propustom u PHP-u. Platforma za umjetnost DeviantArt objavila je da je privremeno nedostupna zbog održavanja, bez navođenja razloga.

Dio Wikipedije nedostupan

Wikimedia fondacija, koja upravlja Wikipedijom, saopćila je da radi na otklanjanju ranjivosti i da je iz predostrožnosti ugasila niz drugih sistema dok ne budu sigurno zakrpljeni. Zbog toga dio korisnika u srijedu nije mogao pristupiti pojedinim dijelovima Wikipedije.

Američka Agencija za nacionalnu sigurnost (NSA) na mreži X je također savjetovala organizacijama da ugase sisteme koje ne mogu ažurirati, uz upozorenje da ovakve ranjivosti često otvaraju direktan put do fajl sistema ili baze podataka servera. Bijela kuća je saopćila da federalne agencije sarađuju s vodećim laboratorijima za vještačku inteligenciju kako bi ubrzale rješenje. Japanska premijerka Sanae Takaichi na X-u je pozvala građane da provjere rade li njihove javno dostupne stranice na PHP-u. Britanski Nacionalni centar za cyber sigurnost (NCSC), te odgovarajuća tijela u EU i Australiji, pozvali su korisnike PHP-a da primijene popravke.

„Vjerovatno prioritetna meta" hakera

„PHP je svuda. On tiho pokreće WordPress, Drupal, Joomla i Magento sajtove, platforme za dijeljeni hosting, kontrolne panele i ogromnu količinu softvera koji ni ne ističe da ispod haube radi na PHP-u", saopćila je kompanija za cyber sigurnost Huntress.

Stručnjak za cyber sigurnost Don Smith iz Sophos Counter Threat Unita rekao je za BBC da će ovo „vjerovatno biti prioritetna meta" za hakere. Prema njegovim riječima, neposredni izazov nije samo instaliranje zakrpe, nego pronalaženje i upravljanje svakom instancom na kojoj PHP radi. „Upotreba PHP-a je sveprisutna, može se nalaziti ispod javnih web stranica, sistema za upravljanje sadržajem, hosting platformi i proizvoda trećih strana, ponekad a da to nije ni očigledno organizaciji koja ga koristi", kazao je. Dodao je da je ključno da organizacije obrate pažnju na znakove da je napadač „možda već stekao uporište" u njihovim sistemima.

Tim za hitne računarske intervencije Evropske unije (CERT-EU) naveo je da ocjene rizika dodijeljene ovim ranjivostima „ukazuju na mogućnost neautentificiranog daljinskog izvršavanja koda". Takav napad potencijalno bi hakerima omogućio da instaliraju malver i obore web stranice.

Deset godina neotkriveni propusti

Ranjivosti su otkrili istraživači kompanija Calif i Wiz. Calif je, zajedno s PHP fondacijom, učestvovao u programu OpenAI-ja nazvanom Patch the Planet, u okviru kojeg su dobili pristup naprednim AI alatima te kompanije za pronalaženje i otklanjanje grešaka u jeziku za razvoj weba. OpenAI je u objavi na svom blogu ocijenio da je riječ o jednom od sigurnosnih problema s najvećim posljedicama u novijoj historiji, te dodao da je i njihov interni istraživač otkrio isti propust otprilike u isto vrijeme kao i druge firme.

Prema dostupnim informacijama, greške su bile neotkrivene više od deset godina, a pronađene su do augusta, nakon nekoliko sedmica korištenja naprednih AI alata. Kompanija Wiz navodi da su to najteže ranjivosti koje je vještačka inteligencija ikada otkrila i da su napredni modeli omogućili razvoj funkcionalnih napada na više aplikacija u roku od nekoliko sati. Wiz procjenjuje da je pogođeno oko 70 posto interneta, ali BBC tu brojku nije mogao nezavisno provjeriti.

PHP fondacija je otkriće namjeravala objaviti kasnije ovog mjeseca, istovremeno s kompletnom popravkom. Međutim, detalji o propustu procurili su na društvene mreže u utorak, zbog čega je fondacija morala ubrzano objaviti informaciju o ranjivosti i njenom obimu.