PHP ni nini, kwa nini ilisababisha taharuki ya usalama wa mtandao duniani?

Kwa zaidi ya muongo mmoja, mapungufu makubwa ya kiusalama yalikuwa yamejificha bila kugunduliwa katika teknolojia inayotegemewa na sehemu kubwa ya mtandao duniani.

Ilichukua uwezo wa akili mnemba (AI) kuyafichua mapungufu hayo, jambo lililosababisha tahadhari ya kimataifa kuhusu usalama wa mtandao.

Udhaifu huo upo katika lugha ya programu inayoitwa PHP, ambayo imekuwa ikitumika duniani kote tangu miaka ya 2000 kujenga na kuendesha tovuti mbalimbali.

Serikali na mashirika ya usalama wa mtandao duniani kote yaliharakisha kuchukua hatua za kudhibiti athari za ugunduzi huo Jumatano, huku yakiwataka waendeshaji wa tovuti kurekebisha hitilafu ya usalama au hata kuzingatia kuzima majukwaa yao kwa muda.

Kampuni ya usalama wa mtandao Wiz, ambayo watafiti wake waligundua mapungufu hayo, ilisema kuwa huu ni "udhaifu mkubwa zaidi wa kiusalama kuwahi kugunduliwa kwa msaada wa "Akili Mnemba".

Kwa upande wake, kampuni ya OpenAI, ambayo teknolojia yake ilitumika kubaini dosari hizo, ilieleza ugunduzi huo kuwa "moja ya matatizo ya usalama yenye athari kubwa zaidi katika kumbukumbu za hivi karibuni".

Udhaifu huo ni upi?

Watu wengi huenda hawajawahi kusikia kuhusu PHP, kifupi cha PHP: Hypertext Preprocessor, lakini bila shaka wanaitumia kila siku.

PHP inaendesha idadi kubwa ya majukwaa ya mtandaoni, yakiwemo maduka ya mtandaoni, Wikipedia, na WordPress, mfumo wa usimamizi wa maudhui unaotumiwa na tovuti nyingi kama blogu.

Unapotembelea tovuti kama Wikipedia, PHP ndiyo programu inayokusanya taarifa unazohitaji na kuziwasilisha kwa namna ambayo unaweza kuzisoma kupitia mtandao, alisema Paul Spain, mtendaji mkuu wa Gorilla Cyber Security, akizungumza na BBC.

Hata hivyo, kutokana na dosari ya kiusalama ambayo inaweza kuruhusu washambuliaji kuchukua udhibiti wa hifadhi data za tovuti zilizoathirika bila kuhitaji uthibitisho wa utambulisho na kuiba taarifa nyeti, kila kitu kilichojengwa kwa kutumia PHP kiliwekwa kwenye hatari.

Spain alisema kuwa matumizi ya akili mnemba (AI) yanaweza kufanya mashambulizi hayo kuwa rahisi na ya haraka zaidi, akikadiria kuwa dosari hiyo inaweza kuathiri "mamilioni na mamilioni" ya tovuti.

Itakuwa "janga kubwa" iwapo wadukuzi au mataifa yataitumia dosari hiyo kama silaha na kupata taarifa binafsi kutoka tovuti mbalimbali, alisema mtafiti wa usalama wa mtandao Jill Slay wa Chuo Kikuu cha Adelaide.

Tovuti zipi zilizoathirika?

Tahadhari hiyo ya kiusalama imesababisha usumbufu wa huduma duniani kote, kuanzia majukwaa ya michezo ya mtandaoni hadi tovuti za serikali na majukwaa ya mijadala ya mtandaoni.

Miongoni mwa walioathirika ni Wikimedia, shirika linalosimamia ensaiklopidia ya mtandaoni ya Wikipedia. Shirika hilo lilizima baadhi ya mifumo yake kwa muda kama hatua ya tahadhari ili kujilinda dhidi ya uwezekano wa mashambulizi yanayotumia dosari hizo za PHP.

Tovuti na kurasa kadhaa za mtandao zimeondolewa kwa muda kutoka mtandaoni na serikali ya Finland, baraza la jiji la Edinburgh, pamoja na BBC. Aidha, shirika la usalama wa mtandao la Uholanzi nalo limeondoa tovuti yake kama hatua ya tahadhari.

Mashirika kadhaa ya umma nchini Scotland, yakiwemo halmashauri za mitaa na bodi za afya, pia yaliondoa tovuti zao mtandaoni kwa muda kama hatua ya tahadhari dhidi ya dosari hiyo ya usalama.

Baadhi ya wataalamu wameonya kwamba udhaifu huu unaweza kuziweka katika hatari kubwa zaidi tovuti ambazo hazijatunzwa vizuri, hasa zile za mashirika madogo yenye rasilimali chache za usalama wa mtandao.

Mtafiti wa usalama wa mtandao Salil Kanhere kutoka UNSW Sydney amesema kuwa majaribio zaidi ya kutumia dosari hizi kushambulia mifumo huenda yakaongezeka katika wiki zijazo, kwa sababu maelezo ya kiufundi kuhusu udhaifu huo sasa yanawekwa wazi hadharani. Hali hiyo inaweza kuwapa wahalifu wa mtandao taarifa wanazohitaji kutengeneza na kuboresha mashambulizi yao.

Ni nini kilitokea baada ya dosari hizo kufichuliwa?

Watengenezaji wa mfumo wa PHP Jumatano walitoa masasisho ya dharura (patches) ili kurekebisha dosari za kiusalama ambazo zilikuwa zimejificha kwenye programu hiyo kwa miaka mingi.

Katika taarifa yao, PHP Foundation ilisisitiza umuhimu wa kuchukua hatua za haraka, ikisema:

"Watumiaji wote wa PHP wanahimizwa kwa dhati kusasisha mifumo yao mara moja."

Mamlaka na taasisi za usalama duniani kote zimeunga mkono onyo hilo na kuzitaka taasisi zinazosimamia tovuti kuhakikisha majukwaa yao yanalindwa.

National Security Agency (NSA) ya Marekani ilizitaka taasisi zote zinazotumia PHP kuzima mifumo yao ikiwa haziwezi kuchukua hatua za usalama mara moja, ikionya kwamba dosari hiyo inaweza kutoa "njia ya moja kwa moja" kwa wahalifu kuingia na kutumia vibaya hifadhidata za mifumo hiyo.

"Hatari hizi ni kubwa kiasi cha kuhitaji kuchukua hatua mara moja katika idara na mashirika yote ya Serikali ya Marekani," shirika hilo lilisema.

National Cyber Security Centre (NCSC) ya Uingereza nayo ilitoa ushauri kama huo na kuzitaka taasisi kukagua iwapo kuna "milango ya nyuma" iliyowekwa na washambuliaji wa mtandao.

Taasisi zinazolingana nazo katika EU na Australia pia zimetoa tahadhari zinazofanana.

Waziri Mkuu wa Japan, , aliwahimiza watu kuangalia kama tovuti zao zinazopatikana kwa umma zinaendeshwa kwa kutumia PHP.

"Tuna ombi la dharura kwa kila mtu kuchukua hatua usiku huu," Sanae Takaichi aliandika kwenye mtandao wa X.

"Iwapo itakuwa vigumu kusakinisha kiraka cha usalama haraka, kusitisha kwa muda huduma za tovuti na kuchukua hatua nyingine zinazofanana kunaweza kuwa njia bora ya kupunguza hatari," alisema.

AI inatambuaje maeneo yenye udhaifu wa kiusalama?

Dosari hizi za kiusalama ziligunduliwa na watafiti kutoka kampuni za usalama mtandaoni za Calif na Wiz.

Watafiti hao walitumia zana za kisasa za akili bandia (AI) zenye uwezo wa kuchambua msimbo wa programu (code) na kubaini mapungufu ya kiusalama kwa kasi zaidi kuliko binadamu au mifumo ya zamani.

"Programu za kisasa ni ngumu sana, na baadhi ya dosari za kiusalama zinaweza kubaki bila kugunduliwa kwa miaka mingi," alisema Kanhere.

Kanhere aliongeza kuwa:

"Makosa ya msingi yaliyosababisha dosari hizo hayakuwa mapya; kilichobadilika ni uwezo wetu wa kuyagundua."

Maelezo ya ugunduzi huo yalivuja mtandaoni wiki hii, jambo lililowalazimisha watengenezaji wa jukwaa la PHP kuharakisha tangazo lao kuhusu dosari hiyo ya usalama na ukubwa wake.

Katika chapisho la blogu, OpenAI ilisema tukio hilo linaonesha jinsi AI inavyoweza kusaidia kugundua mapema mapungufu ya kiusalama katika programu, lakini pia linaonesha hatari yake kwa kuwa wahalifu wa mtandao wanaweza kuitumia kutengeneza kwa haraka zana za mashambulizi na mbinu za kuvamia mifumo.

Kampuni iliyounda ChatGPT , ilisema imetoa programu ya kukagua ikiwa mfumo wa PHP uko salama.

"Mapungufu mengi ya aina hii yanatokana na namna programu zilivyoundwa hapo awali, ambapo kipaumbele kilikuwa utendaji wa mfumo badala ya usalama," alisema Ryan Ko wa Kituo cha Utafiti wa Usalama wa Mtandao katika Chuo Kikuu cha Queensland.

Aliongeza kuwa mifumo mingi ya zamani ya programu bado inabeba udhaifu wa kimuundo unaoweza kutumiwa na wahalifu wa mtandao iwapo haitafanyiwa maboresho na usasishaji wa mara kwa mara wa usalama.

Watu wanapaswa kufanya nini ili kujilinda?

Wamiliki wa tovuti wanahimizwa kuhakikisha wanatumia toleo la hivi karibuni la PHP ili kulinda mifumo yao dhidi ya udhaifu wa kiusalama.

National Security Agency (NSA) ya Marekani imezitaka taasisi kuwa na "tahadhari ya hali ya juu" katika wiki zijazo na kufuatilia kwa karibu masasisho yanayotolewa na watengenezaji wa programu mbalimbali.

Wajibu mkubwa wa kulinda mifumo uko kwa waendeshaji wa tovuti, lakini watumiaji pia wanapaswa kufuatilia ushauri wowote wa kiusalama unaotolewa na huduma wanazotumia, kama vile maombi ya kubadili nywila (passwords), alisema Kanhere.

Aidha, aliwaonya watu kuwa waangalifu dhidi ya ujumbe wa ulaghai wa mtandaoni unaoweza kutumia umaarufu wa tukio hilo kuwahadaa watumiaji na kuiba taarifa zao binafsi.