Kritiskas PHP ievainojamības liek vietņu īpašniekiem steidzami atjaunināt sistēmas vai tās atslēgt

Šonedēļ tika izziņots steidzams brīdinājums: atvērtā koda programmēšanas valodā PHP atklātas ievainojamības, un vietņu īpašniekiem tās jālabo nekavējoties. Ja atjaunināšana uzreiz nav iespējama, ieteikts vietni atslēgt. Par situāciju diskutēja tehnoloģiju portāla TechCrunch podkāsta Equity vadītāji un žurnālisti Kirstena Korosecs, Šons O'Keins un Entonijs Ha.

Kas atklāts

PHP ir ļoti izplatīta valoda tīmekļa vietņu veidošanai, un uz tās balstītas satura pārvaldības sistēmas, tostarp WordPress un Drupal. Pēc Korosekas minētā, tās izmanto aptuveni 70 % vietņu, proti, desmitiem miljonu. Ievainojamība PHP pastāvējusi gadu desmitiem, bet netika pamanīta.

Sākotnēji tika uzskatīts, ka to atklājuši mākslīgā intelekta modeļi, taču vēlāk precizēts: ievainojamības atrada cilvēki – pētnieki, kas piedalījās OpenAI un Google piederošā uzņēmuma Wiz iniciatīvā Hack the Planet. Mākslīgo intelektu viņi izmantoja kļūdas izmantošanai.

Sekas

O'Keins norāda, ka daļa cilvēku steigusies šīs ievainojamības izmantot vietņu uzlaušanai. Vairākas valdības un populāras vietnes uz laiku tika atslēgtas, lai veiktu labojumus. Pēc viņa teiktā, dažas personas apsteidza informācijas publiskošanas aizliegumu, izraisot hakeru sacensību. Interneta drošības uzņēmuma Cloudflare vadītājs Metjū Prinss ziņojis par miljoniem mēģinājumu uzbrukt, izmantojot PHP2Shell. Amazon tīkla slazdā fiksēti mēģinājumi izmantot ievainojamību vēl pirms publiskā paziņojuma.

Bažas

Korosekas ieskatā, daudzas mazākas vai valsts vietnes nevar sev atļauties tādu uzmanību kā Amazon. Viņa pieļauj arī saišu un vietņu izzušanu, ja īpašnieki tās atslēgs, nevis labos. Sarunas dalībnieki pieļauj, ka tas ir tikai sākums jaunam kiberdrošības posmam, un vaicā, vai parādīsies jauni drošības uzņēmumi vai atvērtā koda risinājumi.