Ranljivosti v programskem jeziku PHP, ki se uporablja za izdelavo spletnih strani in spletnih aplikacij, bi napadalcem lahko omogočile prevzem nadzora nad strežniki brez preverjanja pristnosti ter krajo občutljivih podatkov. Varnostna podjetja odkritje opisujejo kot eno najresnejših doslej, pri čemer opozarjajo, da bi lahko bilo prizadetih na milijone spletnih strani.
»Najresnejše« ranljivosti, ki jih je doslej odkrila umetna inteligenca, so po oceni podjetja Wiz, katerega raziskovalci so sodelovali pri odkritju, razkrile obseg težave. Ranljivosti so bile v programski opremi prisotne več let.
Kaj je PHP?
PHP je programski jezik, namenjen zlasti izdelavi spletnih strani in aplikacij. Nastal je leta 1994, razvil pa ga je dansko-kanadski programer Rasmus Lerdorf. Deluje na spletnem strežniku, torej računalniku, ki uporabnikom prek interneta posreduje spletne strani. Ko obiskovalec odpre stran, strežnik izvede ustrezno kodo PHP, na primer pridobi podatke iz podatkovne zbirke, obdela prijavo uporabnika ali pripravi vsebino strani, nato pa brskalniku pošlje rezultat, običajno v obliki HTML, ki ga ta prikaže. PHP je zato pomemben del delovanja številnih spletnih mest, tudi takšnih, katerih vsebina se spreminja glede na uporabnika ali njegove dejavnosti.
PHP med drugim poganja spletne trgovine, spletno enciklopedijo wikipedija in sistem WordPress, na katerem temeljijo številne spletne strani. Opozorilo o ranljivostih je povzročilo motnje v različnih državah. Organizacija Wikimedia, ki upravlja wikipedijo, je iz previdnosti izklopila več sistemov. Svoje spletne strani so začasno umaknili tudi nekateri evropski državni organi, mestni svet Edinburga, BBC in nizozemska agencija za kibernetsko varnost. Podobno so ravnali nekateri zdravstveni zavodi.
Slovenski Urad za informacijsko varnost je po odkritju ranljivosti ogroženost kibernetske varnosti v Sloveniji ocenil kot visoko. Strokovnjaki opozarjajo, da so posebej izpostavljene slabše vzdrževane spletne strani manjših organizacij, ki imajo manj sredstev za informacijsko varnost. Slovenski SI-CERT je opozoril, da je v prihodnjih tednih mogoče pričakovati več poskusov zlorab, saj so tehnične podrobnosti ranljivosti že prišle v javnost.
Pozivi k takojšnjemu ukrepanju
Razvijalci PHP so v sredo objavili varnostne popravke, s katerimi naj bi odpravili odkrite pomanjkljivosti. »Vsem uporabnikom PHP toplo priporočamo, da nemudoma posodobijo programsko opremo,« so sporočili. Ameriška agencija za nacionalno varnost (NSA) je organizacijam svetovala, naj sisteme začasno izklopijo, če ranljivosti ne morejo takoj odpraviti, saj bi napadalcem lahko omogočile neposreden dostop do podatkovnih zbirk.
Britanski nacionalni center za kibernetsko varnost je poleg posodobitev priporočil tudi preverjanje, ali so napadalci v sisteme namestili skrita orodja za poznejši dostop. Podobna opozorila so izdale pristojne ustanove v Evropski uniji in Avstraliji. Japonska premierka Sanae Takaiči je uporabnike javno dostopnih spletnih strani pozvala, naj preverijo, ali uporabljajo PHP, in čim prej ukrepajo. Če takojšnja namestitev popravka ni mogoča, je začasna prekinitev delovanja spletne strani po njenih besedah učinkovit način zmanjšanja tveganja.
Umetna inteligenca kot obramba in tveganje
Raziskovalci so ranljivosti odkrili z naprednimi orodji umetne inteligence, ki lahko analizirajo programsko kodo in prepoznajo napake hitreje kot ljudje ali starejši sistemi. »Osnovne napake niso bile nove; spremenila se je naša sposobnost, da jih odkrijemo,« je poudaril Kanhere.
OpenAI je opozoril, da primer kaže dvojno naravo umetne inteligence: pomaga odkrivati varnostne pomanjkljivosti, hkrati pa lahko napadalcem olajša in pospeši razvoj orodij za zlorabe. Podjetje je objavilo tudi program za preverjanje varnosti PHP. Ryan Ko iz raziskovalnega centra za kibernetsko varnost Univerze v Queenslandu je opozoril, da je bila številna starejša programska oprema zasnovana predvsem za zagotavljanje funkcionalnosti, ne pa varnosti.
Upravljalci spletnih strani morajo namestiti najnovejše popravke in v prihodnjih tednih pozorno spremljati varnostna obvestila. Uporabnikom pa strokovnjaki svetujejo, naj upoštevajo priporočila prizadetih storitev, denimo morebitne zahteve po spremembi gesel, ter bodo pozorni na lažna sporočila, s katerimi bi lahko izkoristili zaskrbljenost zaradi ranljivosti.
