ช่องโหว่ร้ายแรงสองจุดใน PHP ภาษาโปรแกรมที่ขับเคลื่อนเว็บไซต์ประมาณ 70% จุดชนวนการเร่งแพตช์ทั่วโลกสัปดาห์นี้ หลังจากนักวิจัยแสดงให้เห็นว่าบั๊กเหล่านี้สามารถมอบการควบคุมเซิร์ฟเวอร์ให้ผู้โจมตีได้โดยไม่ต้องใช้รหัสผ่าน
ช่องโหว่เหล่านี้ถูกค้นพบโดยใช้โมเดล OpenAI ทำงานร่วมกับบริษัทความปลอดภัย Wiz และ Calif กลุ่มนี้ตั้งชื่อชุดบั๊กนี้ว่า PHP2Shell หนึ่งในช่องโหว่อยู่ในภาษานี้มา 14 ปี
ช่องโหว่นี้เปิดทางอะไร
ผู้โจมตีสามารถยึดเซิร์ฟเวอร์เว็บที่ได้รับผลกระทบได้โดยไม่ต้องยืนยันตัวตน และอ่านหน่วยความจำที่อาจเก็บรหัสผ่านและข้อมูลเซสชัน เนื่องจาก PHP อยู่ภายใต้ WordPress, Drupal และไซต์ที่สร้างเองอีกยาวนาน ความเสี่ยงจึงครอบคลุมถึงโรงพยาบาล ผู้ค้าปลีก และพอร์ทัลรัฐบาล ไม่ใช่แค่บริษัทเทคโนโลยี
Wiz เปรียบเทียบความรุนแรงกับ Heartbleed บั๊กการเข้ารหัสปี 2014 ที่เปิดเผยข้อมูลทั่วเว็บส่วนใหญ่ นักวิจัยกล่าวว่าช่องโหว่นี้ยากพอที่จะอยู่ที่ขอบของสิ่งที่นักวิเคราะห์มนุษย์จะใช้ประโยชน์ได้ และง่ายสำหรับเอเจนต์ AI ที่สามารถดำเนินการโจมตีได้เอง
ใครบอกให้องค์กรลงมือ
สำนักงานความมั่นคงแห่งชาติสหรัฐฯ และหน่วยงานความปลอดภัยไซเบอร์ของสหภาพยุโรปแนะนำให้แพตช์ทันที ทั้งสองกล่าวว่าระบบที่ไม่สามารถอัปเดตได้อย่างรวดเร็วควรถูกปิดใช้งาน เว็บไซต์รัฐบาลยุโรปบางแห่งทำเช่นนั้นจริง และบริการสาธารณะบางส่วนก็ดับไปหนึ่งวัน
เดน คนชท์ ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของ Cloudflare กล่าวว่าบริษัทเห็นความพยายามโจมตีช่วงแรกก่อนแพตช์จะเปิดเผยต่อสาธารณะ OpenAI เปิดตัวเครื่องมือที่ผู้ดูแลระบบสามารถรันเพื่อตรวจสอบว่าการติดตั้งได้รับผลกระทบหรือไม่
ทำไมการเปิดเผยจึงเร่งรีบ
รายละเอียดรั่วไหลออนไลน์สัปดาห์นี้ ทำให้ผู้ดูแล PHP ต้องเผยแพร่คำแนะนำและการอัปเดตเร็วกว่าที่วางแผนไว้ สิ่งนี้ย่นช่องว่างระหว่างการเตือนและการใช้ประโยชน์ ซึ่งเป็นช่องว่างที่ผู้ป้องกันพึ่งพามากที่สุด
เหตุการณ์นี้มีสองด้าน AI ค้นพบบั๊กที่การตรวจสอบโดยมนุษย์หลายปีมองข้ามไป และความสามารถเดียวกันก็ช่วยให้ผู้โจมตีเขียนโค้ดโจมตีได้เร็วขึ้น ทีมความปลอดภัยตอนนี้เผชิญการทดสอบง่ายๆ คือ แพตช์ หรือตัดการเชื่อมต่อ