Dwie krytyczne luki w PHP, języku programowania obsługującym szacunkowo 70% stron internetowych, wywołały w tym tygodniu globalny wyścig z łataniem, po tym jak badacze pokazali, że błędy mogą dać atakującym kontrolę nad serwerami bez hasła.
Luki znaleziono za pomocą modeli OpenAI, we współpracy z firmami bezpieczeństwa Wiz i Calif. Grupa nazwała zestaw błędów PHP2Shell. Jedna z luk tkwiła w języku przez 14 lat.
Co umożliwia luka
Atakujący mogli przejąć dotknięte serwery internetowe bez uwierzytelniania i czytać pamięć, która może zawierać hasła i dane sesji. Ponieważ PHP leży u podstaw WordPressa, Drupala i długiej listy własnych stron, ekspozycja sięga szpitali, detalistów i portali rządowych, nie tylko firm technologicznych.
Wiz porównał powagę do Heartbleed, błędu szyfrowania z 2014 roku, który ujawnił dane w dużej części sieci. Badacze powiedzieli, że luka jest na tyle trudna, iż znajduje się na granicy możliwości ludzkich analityków, a łatwa dla agenta AI, który samodzielnie wykonuje kroki ataku.
Kto nakazał organizacjom działać
Amerykańska Agencja Bezpieczeństwa Narodowego i agencja cyberbezpieczeństwa Unii Europejskiej zaleciły natychmiastowe łatanie. Obie stwierdziły, że systemy, których nie można szybko zaktualizować, należy wyłączyć. Niektóre europejskie strony rządowe zrobiły dokładnie to, a części ich usług publicznych zgasły na jeden dzień.
Dyrektor techniczny Cloudflare, Dane Knecht, powiedział, że firma widziała wczesne próby ataków, zanim poprawka stała się publiczna. OpenAI udostępniło narzędzie, które administratorzy mogą uruchomić, by sprawdzić, czy instalacja jest narażona.
Dlaczego ujawnienie było pośpieszne
Szczegóły wyciekły do sieci w tym tygodniu, zmuszając opiekunów PHP do opublikowania ostrzeżenia i aktualizacji wcześniej niż planowano. Skróciło to odstęp między ostrzeżeniem a wykorzystaniem, a to właśnie ten odstęp jest tym, na którym obrońcy polegają najbardziej.
Epizod ma dwie strony. AI znalazła błąd, który umknął latom ludzkiego przeglądu, a ta sama zdolność może pomóc atakującym szybciej pisać exploity. Zespoły bezpieczeństwa stają teraz przed prostym testem: załataj albo odłącz.