Mi a PHP, és miért indított el globális kiberbiztonsági hajszát?

Több mint egy évtizeden át észrevétlenek maradtak azok a súlyos hibák, amelyek az internet jelentős részének működését biztosító technológiában rejtőztek.

A mesterséges intelligencia (MI) kellett ahhoz, hogy fény derüljön rájuk, ami globális kiberbiztonsági riasztást váltott ki.

A sebezhetőségek a PHP nevű programozási nyelvben találhatók, amelyet a 2000-es évek óta világszerte használnak weboldalak készítésére.

A kormányok és a kiberbiztonsági ügynökségek világszerte azon dolgoznak, hogy megfékezzék a sebezhetőségek szerdai feltárásának következményeit, és arra szólították fel a weboldalak üzemeltetőit, hogy telepítsék az új biztonsági frissítéseket, vagy fontolják meg platformjaik leállítását.

A Wiz kiberbiztonsági vállalat, amelynek kutatói részt vettek a sebezhetőségek feltárásában, a hibákat az MI által valaha észlelt „legsúlyosabb” sebezhetőségeknek nevezte.

Az OpenAI, amelynek technológiáját a hibák megtalálásához használták, azt mondta, a felfedezés „az utóbbi idők egyik legjelentősebb biztonsági problémája".

Mi a hiba a PHP-val?

A legtöbben nem hallottunk a PHP-ről, ami a Hypertext Preprocessor rövidítése, de az biztos, hogy naponta használjuk.

A PHP számos platformot működtet, beleértve az online áruházakat, a Wikipédiát és a WordPress-t – a tartalomkezelő rendszert, amely számos weboldal, például blogok mögött áll.

Amikor ellátogatunk egy weboldalra, mint például a Wikipédiára, a PHP az a kód, amely összegyűjti a szükséges információkat, és olyan módon jeleníti meg azokat, ahogyan az interneten olvasható – magyarázta Paul Spain, a Gorilla Cyber Security vezérigazgatója a BBC-nek.

Egy hiba azonban lehetővé tehette a támadók számára, hogy hitelesítés nélkül átvegyék az irányítást az érintett szerverek felett, és bizalmas adatokat lopjanak el, ami miatt minden PHP-re épülő program sebezhetővé vált.

A mesterséges intelligencia megkönnyítheti és felgyorsíthatja az ilyen támadásokat, mondta Spain. Becslése szerint a hiba "több millió" weboldalt érinthet.

„Katasztrofális” lenne, ha a hackerek vagy országok fegyverként használnák fel a hibát, és megszereznék a weboldalak privát adatait – vélte Jill Slay, az Adelaide-i Egyetem kiberbiztonsági kutatója.

Mely weboldalakat érintette?

A riasztás világszerte fennakadásokat okozott a szolgáltatásokban, a játékplatformoktól kezdve a kormányzati portálokon át az online fórumokig.

Ide tartozik a Wikimédia is – a Wikipédia online enciklopédia mögött álló szervezet –, amely óvintézkedésként számos rendszerét leállította.

A finn kormány, az edinburghi önkormányzat és a BBC is tiltott le oldalakat, és a holland kiberbiztonsági ügynökség is eltávolította a sajátját.

Számos skót közintézmény, köztük önkormányzatok és egészségügyi testületek is eltávolították weboldalaikat az internetről.

Egyes szakértők arra figyelmeztetnek, hogy a sebezhetőség nagyobb kockázatnak teheti ki a rosszul karbantartott weboldalakat, különösen azokat, amelyek korlátozott biztonsági erőforrásokkal rendelkező kisebb szervezetekhez tartoznak.

Salil Kanhere, az Új-Dél-Walesi Egyetem (UNSW) Sydney kiberbiztonsági kutatója szerint a következő hetekben további kísérletek várhatók a hibák kihasználására, mivel a technikai részleteket most nyilvánosságra hozzák.

Mi történt azután, hogy kiderültek a hibák?

A PHP platform fejlesztői szerdán kiadtak javításokat a szoftvereikben évek óta megbúvó sebezhetőségek javítására.

„Minden PHP-felhasználót határozottan arra biztatunk, hogy azonnal frissítsen” – közölte a cég.

A hatóságok és a biztonsági szervezetek világszerte megismételték ezeket a figyelmeztetéseket a weboldalak üzemeltetőinek, hogy biztosítsák platformjaikat.

Az Egyesült Államok Nemzetbiztonsági Ügynöksége (NSA) felszólította az összes PHP-t használó szervezetet, hogy kapcsolják ki rendszereiket, ha nem tudják azonnal kijavítani a hiba részleteit, hozzátéve, hogy a hiba „közvetlen utat” biztosíthat a rendszer adatbázisának kihasználásához.

„Ezek a kockázatok elég komolyak ahhoz, hogy azonnali javításokat tegyenek szükségessé az Egyesült Államok kormányzati szerveiben és ügynökségeiben” – közölte a hivatal.

Az Egyesült Királyság Nemzeti Kiberbiztonsági Központja hasonló tanácsot adott, és arra utasította a szervezeteket, hogy ellenőrizzék a „támadó által telepített hátsó ajtókat”.

Az EU-ban, Szingapúrban és Ausztráliában található partnerszervezeteik is hasonló figyelmeztetéseket adtak ki.

Takaicsi Szanae japán miniszterelnök arra kérte az embereket, hogy ellenőrizzék, hogy nyilvánosan elérhető weboldalaik PHP-n futnak-e.

„Sürgős kérésünk van mindenkihez, hogy ma este tegyen lépéseket” – írta Takaicsi az X-en.

„Ha nehéz a biztonsági frissítést azonnal alkalmazni, a weboldalak ideiglenes felfüggesztése és hasonló intézkedések hatékony módszernek tekinthetők a kockázat csökkentésére” – tette hozzá.

A tech cégek is versenyt futnak rendszereik biztonságossá tételéért.

Az Amazon e-kereskedelmi óriás azt állította, hogy a PHP-probléma nyilvánosságra kerülése előtt több támadási kísérlet is érte. Nem tudni, hogyan tudtak a potenciális támadók a sebezhetőségről.

Hogyan talált rá a mesterséges intelligencia a gyenge pontokra?

A sebezhetőségeket a Calif és a Wiz biztonsági cégek kutatói fedezték fel.

A kutatók fejlett mesterséges intelligencia-eszközöket használtak, amelyek sokkal gyorsabban képesek elemezni a kódot és hibákat találni, mint az emberek vagy a régebbi rendszerek.

„A modern szoftverek hihetetlenül összetettek, és egyes sebezhetőségek évekig észrevétlenek maradhatnak” – mondta Kanhere.

„A hibák nem voltak újak; ami megváltozott, az a képességünk, hogy megtaláljuk őket” – tette hozzá.

A felfedezés részletei ezen a héten kiszivárogtak az internetre, ami arra kényszerítette a PHP platform fejlesztőit, hogy sietve bejelentsék a biztonsági hibát és annak hatalmas mértékét.

Az incidens „rávilágít arra, hogyan képes a mesterséges intelligencia biztonsági hibákat feltárni”, de arra is, hogyan „segíthet a támadóknak gyorsan támadó eszközök és sérülékenységek kiaknázásában” – írta az OpenAI egy blogbejegyzésben.

A ChatGPT gyártója azt nyilatkozta, hogy kiadott egy programot, amely ellenőrzi a PHP platform biztonságosságát.

„Ezen hibák közül sok a szoftverek korábbi fejlesztési módjából ered, amelyeket a funkcionalitás, és nem a biztonság szem előtt tartása céljából készítettek” – mondta Ryan Ko, a Queenslandi Egyetem Kiberkutató Központjából.

Mit tehetünk a saját védelmünk érdekében?

A weboldal tulajdonosokat arra kérik, hogy webhelyeiket a PHP legújabb verziójával frissítsék.

A PHP szoftverfrissítés egy kisebb, rutinszerű javítás a legtöbb tech csapat számára, mondta Spain.

Az amerikai Nemzetbiztonsági Ügynökség (NSA) a következő hetekben „fokozott tudatosságra” és a szoftvergyártók frissítéseinek szoros nyomon követésére szólított fel.

„A rendszerekhez kapcsolódó javítások alkalmazásakor az éberség kiemelkedő fontosságú” – mondta.

A felelősség főként a weboldalak üzemeltetőinek a felelőssége, de a felhasználóknak figyelniük kell az érintett szolgáltatások által kiadott biztonsági tanácsokra, például a jelszóváltoztatási kérésekre – mondta Kanhere.

Arra is figyelmeztette az embereket, hogy legyenek óvatosak minden olyan adathalász üzenettel szemben, amely kihasználja az incidens körüli nyilvánosságot.

Ezt a cikket újságíróink írták és lektorálták, a fordításhoz mesterséges intelligencia által támogatott eszközök segítségét használták, egy kísérleti projekt részeként.

Szerkesztette: Kárász Palkó