Sigurnosna rupa u PHP-u skrivana više od deceniju: sajtovi širom svijeta ugašeni iz predostrožnosti

Više od deset godina u temeljima velikog dijela interneta stajale su ozbiljne sigurnosne greške koje niko nije primijetio. Na vidjelo su izašle tek uz pomoć vještačke inteligencije, a njihovo objavljivanje u srijedu izazvalo je sigurnosnu uzbunu na globalnom nivou. Riječ je o ranjivostima u programskom jeziku PHP, na kojem se od 2000-ih grade web stranice širom svijeta.

Vlade i agencije za kibernetičku sigurnost sada pokušavaju ograničiti posljedice otkrića. Operaterima sajtova upućen je poziv da odmah instaliraju novu hitnu zakrpu ili da razmotre privremeno gašenje svojih platformi.

Šta je PHP i zašto je toliko važan

Većina korisnika vjerovatno nikada nije čula za PHP, iako s njim dolazi u kontakt svakodnevno. Puni naziv je PHP: Hypertext Preprocessor, a radi se o programskom jeziku otvorenog koda koji se izvršava na web serveru, dakle "u pozadini" stranice. Razvijen je početkom 1990-ih kako bi omogućio posluživanje dinamičkih web stranica i aplikacija, a i danas pokreće brojne platforme, među njima Wikipediju, online prodavnice i WordPress, sistem na kojem počiva veliki broj sajtova.

Kada korisnik otvori neku stranicu, upravo PHP prikuplja podatke i pretvara ih u sadržaj koji se može čitati. Na njemu su napisani i popularni alati za brži razvoj web aplikacija, poput Laravela, Symfonyja i Drupala. Prema podacima kompanije Wiz, PHP pokreće 70 posto svjetskih web stranica. Jezik održava neprofitna organizacija PHP Foundation, koju čine pojedinci i kompanije zavisne od ovog jezika, s ciljem da osiguraju njegov dugoročni opstanak.

Dvije greške nazvane "php2shell"

Grupa istraživača i organizacija iz oblasti kibernetičke sigurnosti objavila je ove sedmice dvije ranjivosti u PHP-u, upozoravajući da bi mogle ugroziti sajtove širom interneta. Kompanije Wiz i Calif navode da su greške, nazvane "php2shell", ugrađene u sam jezik i da pogađaju verzije PHP-a objavljene u posljednjih deset godina.

Wiz, jedna od kompanija čiji su istraživači otkrili propuste, ocijenila je da su to najozbiljnije ranjivosti koje je vještačka inteligencija ikada pronašla. OpenAI, čija je tehnologija korištena u otkrivanju, nazvao je ovo jednim od najuticajnijih sigurnosnih problema u novijoj historiji. Ryan Austin, istraživač iz Califa koji je učestvovao u otkriću, rekao je da je to najozbiljnija ranjivost koju je ikada pronašao.

U objavi na svom blogu Wiz je naveo da bi hakeri pod odgovarajućim uslovima mogli iskoristiti php2shell da preuzmu kontrolu nad pogođenim serverima i ukradu osjetljive podatke, te da je sve što je izgrađeno na PHP-u ostalo izloženo.

Stručnjaci: milioni sajtova u riziku

Paul Spain, izvršni direktor kompanije Gorilla Cyber Security, upozorio je da bi vještačka inteligencija mogla takve napade učiniti lakšim i bržim, a po njegovoj procjeni greška bi mogla pogoditi "milione i milione" web stranica. Jill Slay, istraživačica kibernetičke sigurnosti s Univerziteta u Adelaideu, ocijenila je da bi bilo katastrofalno ako bi hakeri ili države iskoristili ovu slabost da se domognu privatnih podataka sa sajtova.

Dio stručnjaka upozorava da su u većem riziku loše održavani sajtovi, posebno oni manjih organizacija koje nemaju dovoljno resursa za sigurnost. Salil Kanhere, istraživač kibernetičke sigurnosti s Univerziteta Novog Južnog Velsa u Sydneyju (UNSW Sydney), upozorio je da će u narednim sedmicama vjerovatno biti više pokušaja iskorištavanja ovih propusta, budući da su tehnički detalji sada javno objavljeni.

Ko je već ugasio svoje stranice

Uzbuna je poremetila rad servisa širom svijeta, od gejming platformi preko vladinih portala do online foruma. Wikimedia, organizacija koja stoji iza Wikipedije, iz predostrožnosti je ugasila dio svojih sistema. Stranice su privremeno isključile i finska vlada, Gradsko vijeće Edinburgha i BBC, a holandska agencija za kibernetičku sigurnost povukla je svoj sajt s mreže. U srijedu je ugašena i stranica Univerziteta u Ženevi, dok su u Škotskoj svoje web stranice isključile brojne javne organizacije, uključujući gradska vijeća i zdravstvene odbore.

Šta se dogodilo nakon objave

PHP Foundation je u srijedu objavila zakrpe kojima se otklanjaju ranjivosti koje su se godinama krile u njihovom softveru, uz poruku da se svi korisnici PHP-a snažno pozivaju da odmah ažuriraju svoje sisteme. Vlasti i sigurnosne organizacije širom svijeta ponovile su te pozive operaterima sajtova da zaštite svoje platforme.

Američka Agencija za nacionalnu sigurnost (NSA) poručila je svim organizacijama koje koriste PHP da isključe svoje sisteme ako ih ne mogu odmah zakrpiti, uz upozorenje da bi propust mogao pružiti "direktan put" do baze podataka sistema. Rizici su, kako je navela agencija, dovoljno ozbiljni da zahtijevaju hitno krpljenje u svim ministarstvima i agencijama vlade SAD.

Britanski Nacionalni centar za kibernetičku sigurnost (NCSC) dao je sličan savjet i pozvao organizacije da provjere ima li "backdoora" koje je instalirao napadač. Slična upozorenja izdale su i nadležne agencije u Evropskoj uniji, Singapuru i Australiji, dok je japanska premijerka Sanae Takaichi pozvala građane i kompanije da provjere rade li njihove javno dostupne web stranice na PHP-u.