PHP2Shell ievainojamības: mākslīgais intelekts palīdzējis vecas kļūdas padarīt izmantojamas
Pēc plaši lietotās PHP programmēšanas valodas ievainojamību publiskošanas uzbrucēji stundu laikā veikuši miljoniem izmantošanas mēģinājumu. Pētnieki norāda, ka MI paātrina kļūdu analīzi, taču tas nav pilnīgi jauns process un prasa cilvēka zināšanas.
Pēc tam, kad šonedēļ publiski kļuva zināmas vairākas PHP programmēšanas valodas drošības ievainojamības, kopīgi nosauktas par PHP2Shell, kibernoziedznieki dažu stundu laikā sāka tās mēģināt izmantot reālos uzbrukumos. Interneta infrastruktūras uzņēmuma Cloudflare analīze liecina par miljoniem mēģinājumu. PHP izmanto daudzās tīmekļa vietnēs, tāpēc drošības komandas un administratori steidzās instalēt labojumus.
Pagaidām vērienīgākais scenārijs — masveida serveru pārņemšana un datu noplūdes — nav piepildījies. PHP Foundation, organizācija, kas uztur šo valodu, paziņojusi, ka veiksmīgu ievainojamību izmantošanu nav konstatējusi, un daudzi publiski izplatītie uzbrukuma paņēmieni, šķiet, nedarbojas.
Vecas kļūdas, jauni rīki
Ievainojamības pirmie atklāja un uzbrukuma paraugus izveidoja drošības uzņēmuma Calif pētnieki augusta sākumā. Viņi izmantoja gan modernus mākslīgā intelekta rīkus OpenAI programmas Patch the Planet ietvaros, gan cilvēku speciālistu zināšanas par PHP. Daļa problēmu bija identificēta jau 2024. gadā, taču toreiz tika uzskatīta par pārāk sarežģītu izmantošanai. Vēlāk neatkarīgi no Calif līdzīgas kļūdas ar MI rīkiem atrada arī OpenAI un Google piederošā drošības uzņēmuma Wiz pētnieki.
Wiz drošības pētnieks Sagi Tzadiks skaidro, ka PHP komanda par ievainojamību zināja gadiem, taču tā netika labota, jo uzbrucējs — vismaz cilvēks — to nevarēja izmantot.
Spiediens uz drošības komandām
MI ļauj ātrāk analizēt un izmantot ievainojamības, kas palielina slodzi IT komandām un izstrādātājiem. Microsoft šomēnes izlaida drošības atjauninājumus ar rekordliecīgiem 1453 labojumiem, bet Bank of America nesen pieņēma darbā 1000 konsultantu, lai novērstu kļūdas, ko atklājis Anthropic modelis Mythos.
Pētnieki uzsver, ka MI būtiski nemaina pamatprincipus, bet pastiprina jau esošo ievainojamību atklāšanas dinamiku. Bijušais NSA hakeris Džeiks Viljamss (Hunter Strategy pētniecības viceprezidents) prognozē vairāk šādu ilgdzīvojošu kļūdu, taču uzskata, ka tādu "viegli sasniedzamu" mērķu ir ierobežots skaits, jo PHP ir īpaši plaši pieejams internetā. Calif pētnieks Raiens Ostins rakstījis, ka neviens modelis ar vienkāršiem uzdevumiem nespēj atrast visas kļūdas. Drošības inženieris Nīls Provoss arī nav īpaši satraukts, jo šo kļūdu atrašanai bija vajadzīga augsti kvalificēta komanda.
