Et par kritiske fejl i PHP, det programmeringssprog der driver anslået 70 procent af alle hjemmesider, udløste denne uge en global patchekamp, efter at forskere viste, at fejlene kunne give angribere kontrol over servere uden adgangskode.
Fejlene blev fundet ved hjælp af OpenAI-modeller i samarbejde med sikkerhedsfirmaerne Wiz og Calif. Gruppen gav fejlsættet øgenavnet PHP2Shell. En af fejlene havde ligget i sproget i 14 år.
Hvad fejlen muliggør
Angribere kunne overtage berørte webservere uden autentificering og læse hukommelse, der kan indeholde adgangskoder og sessionsdata. Fordi PHP ligger under WordPress, Drupal og en lang række specialbyggede sider, rammer eksponeringen hospitaler, detailhandlere og offentlige portaler, ikke kun teknologivirksomheder.
Wiz sammenlignede alvoren med Heartbleed, krypteringsfejlen fra 2014, der blotlagde data over store dele af nettet. Forskerne sagde, at fejlen er så svær, at den ligger på grænsen af, hvad menneskelige analytikere kunne udnytte, og let for en AI-agent, der selv kan udføre angrebstrin.
Hvem der bad organisationer om at handle
USA's National Security Agency og EU's cybersikkerhedsagentur rådede til øjeblikkelig patching. Begge sagde, at systemer, der ikke hurtigt kan opdateres, bør tages offline. Nogle europæiske regeringssider gjorde netop det, og dele af deres offentlige tjenester var nede i en dag.
Cloudflares teknologidirektør, Dane Knecht, sagde, at virksomheden så tidlige angrebsforsøg, før patchen blev offentlig. OpenAI udgav et værktøj, som administratorer kan køre for at kontrollere, om en installation er eksponeret.
Hvorfor offentliggørelsen blev fremskyndet
Detaljer lækkede online i denne uge, hvilket tvang PHPs vedligeholdere til at offentliggøre rådgivningen og opdateringen tidligere end planlagt. Det forkortede afstanden mellem advarsel og udnyttelse, som er det vindue, forsvarere er mest afhængige af.
Episoden skærer begge veje. AI fandt en fejl, som årelang menneskelig gennemgang havde overset, og den samme kapacitet kan hjælpe angribere med at skrive exploits hurtigere. Sikkerhedsteams står nu over for en simpel prøve: patch, eller afbryd forbindelsen.