Уязвимост в сърцето на интернет предизвика глобална тревога и свали сайтове по цял свят

През последното денонощие редица уебсайтове по света бяха временно изключени, докато правителства и компании се опитваха да отстранят новооткрити уязвимости в PHP – програмен език, върху който се крепи значителна част от интернет. Пропуските в сигурността биха могли да позволят на хакери да извършват кибератаки. Какви са тези уязвимости и защо засегнаха толкова много сайтове?

Какво представлява PHP?

PHP е програмен език с отворен код, създаден преди повече от 30 години, който се използва широко в интернет. На него са базирани системи за управление на съдържанието и платформи за публикуване като WordPress.

По оценки около 70% от уебсайтовете използват PHP, което означава, че потенциално засегнатите страници са милиони. Сред платформите, които разчитат на езика, са Wikipedia и Facebook.

Уязвимостите засягат и Drupal – система, използвана за изграждането на множество правителствени сайтове по света. В Австралия например 391 държавни уебсайта работят с платформата GovCMS, базирана на Drupal.

В какво се състои проблемът?

Според PHP Foundation, неправителствената организация, която поддържа и развива програмния език, проблемите се намират в компоненти, през които преминава практически всяка заявка към сървъра – управлението на паметта и обработката на грешки.

Компанията за киберсигурност Hadrian нарича двете уязвимости PHP2Shell.

Те позволяват чрез специално създадена заявка да бъде нарушена работата с паметта на сървъра, което впоследствие може да се използва за извършване на атака. Според американската Агенция за национална сигурност (NSA) подобен пробив би могъл да осигури на нападателите директен достъп до файловата система или базата данни на сървъра.

Как са открити уязвимостите?

Традиционно изследователите и експертите по киберсигурност търсят слабости в софтуерните системи чрез собствени тестове. Откритите проблеми се отстраняват, а понякога уязвимостите стават известни едва след успешна кибератака.

Изкуственият интелект обаче значително ускорява този процес. AI вече може да анализира огромни количества програмен код и да открива потенциални слабости, които човек би могъл да пропусне, при това за много по-кратко време.

От PHP Foundation съобщават, че са използвали водещ модел на Anthropic за проверка на кода си. PHP е бил включен и в програмата Patch the Planet на OpenAI, която е установила проблема в средата на август, независимо от изследовател, известен като Ryan A, достигнал до същото откритие по същото време.

Първоначално информацията за уязвимостите е трябвало да остане поверителна до 22 октомври, за да имат администраторите на сайтове достатъчно време да приложат необходимите корекции.

Във вторник обаче PHP Foundation установява, че подробности за двата пропуска вече се разпространяват във форуми и социални мрежи. Това принуждава организацията да оповести проблема по-рано от планираното.

Колко сериозна е заплахата?

Много сериозна. Както обясняват от PHP Foundation, засегнатите компоненти са толкова фундаментални за работата на PHP, че практически всяка заявка към сървъра преминава през тях.

Именно това прави уязвимостите едновременно опасни и трудни за отстраняване. Корекциите трябва да бъдат направени така, че да не нарушават съвместимостта със съществуващия софтуер, да не влошават производителността и да не налагат промени в огромната екосистема от разширения, разработвани от външни компании.

Като се има предвид колко голяма част от интернет разчита на PHP, проблемът изисква незабавна реакция.

Още повече че подробностите за уязвимостите вече са публично достъпни. От Hadrian съобщават, че наблюдават масови опити за експлоатирането им.

Колко време ще отнеме отстраняването на проблема?

Необходимите софтуерни корекции вече са налични. Именно спешното им прилагане е причината редица сайтове по света да бъдат временно недостъпни през последното денонощие. Много от тях са възстановили работата си сравнително бързо.

Компаниите за киберсигурност препоръчват актуализациите да бъдат инсталирани незабавно. Когато това не е възможно, най-безопасният вариант е засегнатите системи временно да бъдат изключени.

Спирането на една услуга за няколко часа струва много по-малко от компрометиран сървър“, посочват от Hadrian.

Ефективността на мерките обаче зависи от това дали компаниите и държавните институции знаят, че използват уязвимите версии на PHP и колко бързо ще реагират. „Непосредственото предизвикателство не е просто да се инсталира актуализацията, а да се открие и управлява всяка система, в която работи PHP“, обяснява Дон Смит, вицепрезидент по анализа на киберзаплахите в звеното Counter Threat Unit на Sophos.

Според Сиги Гуд, професор по информационни системи в Австралийския национален университет, временното спиране на сайтовете не е най-тревожният аспект на ситуацията.

По-голямото притеснение са сайтовете, които днес не са спрени. Потребителите трябва да бъдат предпазливи с тях, тъй като те са очевидни мишени“, предупреждава той.

Изтекла ли е информацията преди официалното оповестяване?

Засега не е ясно дали подробностите за уязвимостите действително са изтекли предварително. Според PHP Foundation няколко компании за киберсигурност са нарушили договорения срок за публично оповестяване, след като информацията вече е започнала да се разпространява.

Amazon Threat Intelligence обаче съобщава, че е засякла опит за експлоатиране на PHP2Shell още четири дни преди официалното разкриване на проблема.

Въпреки че уязвимостта все още е била под ембарго, атаката срещу примамваща система от анонимизиран IP адрес предполага действия на злонамерен участник. Остава неясно обаче как той се е сдобил с информация за експлоатирането на уязвимостта преди публичното ѝ оповестяване“, посочват от Amazon.

В деня, в който е трябвало да отпадне ограничението за публикуване на информацията, но още преди официалното му изтичане, Amazon открива и няколко демонстрационни експлойта (proof of concept).

Това са технически демонстрации, които доказват, че дадена уязвимост съществува, без непременно да се използват за реална атака. Ситуацията може да се сравни с проверка дали ключалката на една врата е дефектна, без да се влиза през нея.

Прави ли изкуственият интелект интернет по-уязвим?

Изкуственият интелект значително улеснява откриването на пропуски в сигурността. AI агентите вече могат да идентифицират за кратко време проблеми, чието установяване преди би отнело на специалистите месеци или дори години. Освен това откриват слабости, за чието съществуване никой не е подозирал.

Това е и една от причините напоследък да се публикуват все повече актуализации за сигурност на софтуера за телефони и компютри.

Проблемът е, че с изключение на най-мощните и ограничено достъпни AI модели, технологията вече е широко разпространена и лесна за използване. Така се оформя своеобразна надпревара между специалистите, които се стремят да защитят системите, и хакерите, които искат да се възползват от откритите с помощта на AI уязвимости.

Злонамерените участници действат бързо, особено с помощта на AI, и тези уязвимости вероятно ще бъдат сред основните им цели през следващите часове и дни. Затова е изключително важно организациите да наблюдават процесите на PHP и уебсървърите за необичайна активност, изпълнение на команди или други признаци, че нападател вече е успял да проникне в системата“, предупреждава Смит.

Междувременно потребители в социалните мрежи припомнят показателна карикатура на Рандъл Мънро, създател на уебкомикса XKCD. Тя илюстрира колко силно съвременната технологична инфраструктура зависи от проекти, поддържани от малки екипи, а понякога дори от един-единствен човек.

Случаят с PHP е показателен за този дисбаланс. Фондацията, която поддържа програмния език, се финансира чрез дарения и разполага с едва 13 инженери на пълно или непълно работно време.

За сравнение, в разработването на изкуствен интелект се инвестират милиарди долари.