Vlade širom svijeta i agencije za cyber sigurnost pokušavaju da suzbiju posljedice ranjivosti u programskom jeziku koji se koristi za izradu web stranica

foto: Pixabay / Ilustracija

Otkriće o ranjivosti u PHP-u, programskom jeziku koji se širom svijeta od 2000-ih godina koristi za izradu web stranica, izazvalo je globalnu uzbunu.

Vlade širom svijeta i agencije za cyber sigurnost pokušavaju da suzbiju posljedice ovog otkrića.

Šta je PHP?

PHP je skraćenica za Hypertext Preprocessor, odnosno programski jezik za pozadinski razvoj koji se izvršava na web serveru, i osnova je većine web stranica.

Kada posjetite stranicu, PHP je kod koji prikuplja podatke i efektivno ih pretvara u stranicu koju možete čitati. Također je korišten za pisanje brojnih alata za izgradnju ili ubrzavanje kreiranja web aplikacija, a Laravel, Symfony i Drupal su među popularnim PHP okvirima.

Ranjivosti koje su otkrivene u PHP-u omogućavaju hakerima da izvode cyber napade i kradu podatke ako se ne poprave.

Razvijen je početkom 1990-ih kako bi pomogao u posluživanju web stranica i aplikacija, te i danas pokreće mnoge platforme, uključujući Wikipediju, online trgovine i WordPress – sistem koji stoji iza mnogih web stranica.

Prema firmi za cyber sigurnost Wiz, koja je pomogla u otkrivanju kritičnih PHP ranjivosti koje su se pojavile ove sedmice, PHP pokreće 70 posto svjetskih web stranica.

Održava ga neprofitna organizacija pod nazivom PHP Foundation kojoj je cilj osigurati njegov „dugoročni prosperitet“.

Grupa istraživača i organizacija za cyber sigurnost otkrila je ove sedmice dvije ranjivosti unutar PHP-a za koje su upozorili da bi mogle imati potencijal da unište stranice širom interneta.

Firme Wiz i Calif saopštile su da su nedostaci, koji su nazvani „php2shell“, inherentni samom jeziku, a verzije PHP-a objavljene tokom posljednje decenije su pogođene.

Ryan Austin, istraživač iz Kalifornije koji je pomogao u otkrivanju sigurnosnih problema, rekao je za BBC da je to „najozbiljnija ranjivost koju je ikada pronašao“.

Wiz je u blogu napisao da, pod pravim uslovima, hakeri mogu iskoristiti problem php2shell-a da preuzmu kontrolu nad pogođenim web serverima i ukradu osjetljive podatke, istaknuvši da je sve što je izgrađeno na PHP-u ostalo izloženo.

Koje su web stranice pogođene?

Upozorenje je poremetilo usluge širom svijeta, od platformi za igrice do vladinih portala i online foruma. Među njima je i Wikimedia, organizacija koja stoji iza online enciklopedije Wikipedia i koja je iz predostrožnosti ugasila niz svojih sistema.

Neki stručnjaci upozoravaju da bi ranjivost mogla izložiti većem riziku loše održavane internet stranice, posebno one koje pripadaju manjim organizacijama s ograničenim sigurnosnim resursima.

Istraživač cyber sigurnosti Salil Kanhere sa Univerziteta Južni Wales u Sydneyju za BBC je rekao da je vjerovatno da će u narednim sedmicama biti još pokušaja iskorištavanja ovih nedostataka, budući da se tehnički detalji sada objavljuju.

Finska vlada, vijeće Edinburgha i BBC su ugasili internet stranice, dok je nizozemska agencija za cyber sigurnost također povukla svoju internet stranicu.

Brojne škotske javne organizacije, uključujući vijeća i zdravstvene odbore, također su ih ugasile.

Kako je došlo do otkrića?

Istraživači i stručnjaci za cyber sigurnost su godinama unazad testirali sisteme na ranjivosti i zakrpali probleme kada bi bili otkriveni ili bi zakrpali kada bi jedan sistem bio napadnut i identifikovana ranjivost.

Umjetna inteligencija je sada ubrzala ovaj proces jer se može koristiti u sistemima kako bi identifikovala potencijalne probleme koje čovjek možda nije uočio i to može učiniti u mnogo kraćem vremenskom okviru.

PHP Foundation je saopštila da je radila s Anthropicovim frontier modelom kako bi skenirala svoj kod i da je PHP uključila u OpenAI-jev program Patch the Planet, koji je otkrio problem istovremeno s istraživačem Ryanom Austinom sredinom augusta.

Otkrivanje ranjivosti bilo je zabranjeno do 22. oktobra, kako bi se internet stranicama dalo vremena da ga isprave. Ipak, prema PHP Foundation, otkrili su da su dvije ranjivosti počele kružiti forumima i društvenim mrežama u utorak, pa su stoga ranije objavili ranjivosti. Britanski NCSC je rekao da je ovo stvorilo prozor od 12 do 14 sati za ljude da traže ranjivost na internet stranicama prije nego što bi se mogle ispraviti.

Šta se dogodilo nakon što su nedostaci otkriveni?

PHP Foundation je u srijedu objavila zakrpe kako bi ispravila ranjivosti koje su se godinama skrivale u njihovom softveru.

„Svim korisnicima PHP-a se toplo preporučuje da ih odmah ažuriraju“, saopštila je kompanija.

Vlasti i sigurnosne organizacije širom svijeta ponovile su ta upozorenja operaterima internet stranica kako bi osigurale svoje platforme.

Nacionalna sigurnosna agencija Sjedinjenih Američkih Država rekla je svim organizacijama koje koriste PHP da isključe svoje sisteme s mreže ako ih ne mogu odmah zakrpiti, dodajući da bi propust mogao pružiti „direktan put“ za iskorištavanje baze podataka sistema.

Nacionalni centar za cyber sigurnost Ujedinjenog Kraljevstva dao je sličan savjet i rekao organizacijama da provjere „zadnja vrata koja je instalirao napadač“.

U Evropskoj uniji, Singapuru i Australiji također su izdana slična upozorenja.

Japanska premijerka Sanae Takaichi pozvala je ljude da provjere koriste li njihove javno dostupne internet stranice PHP.

Koliko će vremena trebati za popravak?

Zakrpe su već dostupne, a razlog zašto je nekoliko internet stranica palo u posljednjih nekoliko dana bio je taj što su ljudi radili na tome da odmah zakrpe svoje sisteme. Brojne internet stranice su se brzo vratile u rad.

Sigurnosne kompanije preporučile su trenutno instaliranje zakrpa, a tamo gdje se to ne može odmah učiniti, sisteme treba isključiti iz mreže.

Da li umjetna inteligencija čini internet ranjivijim na ovakve probleme?

S umjetnom inteligencijom mnogo je lakše pronaći ranjivosti. Agenti umjetne inteligencije sada mogu identifikovati probleme za koje bi ljudima trebali mjeseci ili godine da ih pronađu, a također pronalaze i one za koje ljudi nisu bili svjesni.

Dio problema leži u tome što je , uz izuzetak najnaprednijih modela, umjetna inteligencija svima veoma jednostavna za korištenje. To dovodi do svojevrsne utrke između onih koji pokušavaju zaštititi svoje sisteme i hakera koji nastoje iskoristiti ranjivosti koje je otkrila umjetna inteligencija.

Izvor: Guardian, BBC

___