Kaksi kriittistä haavoittuvuutta PHP:ssä, ohjelmointikielessä joka pyörittää arviolta 70 prosenttia verkkosivustoista, käynnisti tällä viikolla maailmanlaajuisen paikkauskiireen, kun tutkijat osoittivat, että haavoittuvuudet voivat antaa hyökkääjille palvelinten hallinnan ilman salasanaa.
Haavoittuvuudet löydettiin OpenAI:n malleilla yhdessä turvayhtiöiden Wizin ja Califin kanssa. Ryhmä antoi haavoittuvuusjoukolle lempinimen PHP2Shell. Yksi haavoittuvuuksista oli ollut kielessä 14 vuotta.
Mitä haavoittuvuus mahdollistaa
Hyökkääjät voisivat ottaa haltuunsa vaikutuksen alaiset verkkopalvelimet ilman todennusta ja lukea muistia, joka saattaa sisältää salasanoja ja istuntotietoja. Koska PHP on WordPressin, Drupalin ja pitkän listan räätälöityjä sivustoja alla, altistus ulottuu sairaaloihin, vähittäiskauppiaisiin ja hallinnon portaaleihin, ei vain teknologiayhtiöihin.
Wiz vertasi vakavuutta Heartbleediin, vuoden 2014 salaushaavoittuvuuteen, joka paljasti tietoja suuressa osassa verkkoa. Tutkijat sanoivat, että haavoittuvuus on tarpeeksi vaikea ollakseen ihmisanalyytikoiden hyödynnettävyyden rajalla, ja helppo tekoälyagentille, joka voi suorittaa hyökkäysvaiheet itsenäisesti.
Kuka kehotti organisaatioita toimimaan
Yhdysvaltain kansallinen turvallisuusvirasto NSA ja Euroopan unionin kyberturvallisuusvirasto kehottivat välittömään paikkaukseen. Molemmat sanoivat, että järjestelmät, joita ei voida päivittää nopeasti, tulisi ottaa pois käytöstä. Jotkin eurooppalaiset hallitussivustot tekivät juuri niin, ja osa niiden julkisista palveluista oli pimeänä päivän ajan.
Cloudflaren teknologiajohtaja Dane Knecht sanoi, että yhtiö näki varhaisia hyökkäysyrityksiä ennen kuin paikkaus tuli julkiseksi. OpenAI julkaisi työkalun, jonka ylläpitäjät voivat ajaa tarkistaakseen, onko asennus altistunut.
Miksi tiedottaminen kiirehdittiin
Yksityiskohdat vuotivat verkkoon tällä viikolla, mikä pakotti PHP:n ylläpitäjät julkaisemaan tiedotteen ja päivityksen suunniteltua aiemmin. Tämä lyhensi varoituksen ja hyväksikäytön välistä aikaa, johon puolustajat luottavat eniten.
Tapaus leikkaa kahteen suuntaan. Tekoäly löysi haavoittuvuuden, jonka vuosien ihmistarkastelu ohitti, ja sama kyvykkyys voi auttaa hyökkääjiä kirjoittamaan hyväksikäyttöjä nopeammin. Turvatiimit kohtaavat nyt yksinkertaisen testin: paikkaa tai irrota.