Ranljivosti v programskem jeziku PHP, ki se uporablja za izdelavo spletnih strani in spletnih aplikacij, bi napadalcem lahko omogočile prevzem nadzora nad strežniki brez preverjanja pristnosti ter krajo občutljivih podatkov. Varnostna podjetja odkritje opisujejo kot eno najresnejših doslej, pri čemer opozarjajo, da bi lahko bilo prizadetih na milijone spletnih strani. Slovenski Urad za informacijsko varnost je po odkritju ranljivosti ogroženost kibernetske varnosti v Sloveniji ocenil kot visoko.
»V desetih urah pred javno objavo smo v svojem omrežju zaznali več tisoč poskusov zlorabe ranljivosti, je v sredo pozno zvečer na omrežju X sporočil Matthew Prince, izvršni direktor podjetje Cloudflare, ki ponuja storitve v oblaku. »V 45 minutah po objavi se je število povzpelo na več deset tisoč, v dveh urah na več sto tisoč, zdaj pa jih je že na milijone,« je dodal Prince.
Težave tudi v Sloveniji
Ranljivosti so bile v programski opremi prisotne več let, raziskovalci pa so jih odkrili s pomočjo umetne inteligence. Njihovo prisotnost so, kot je praksa, razkrili, ko je bila posodobitev, ki ranljivosti odpravlja, že dostopna. Sama prisotnost popravka pa še ne pomeni, da so vsi sistemi varni. Popravek je namreč treba v sistem uvesti, do takrat pa je ta ranljiv.
Strokovnjaki opozarjajo, da so posebej izpostavljene slabše vzdrževane spletne strani manjših organizacij, ki imajo manj sredstev za informacijsko varnost. Slovenski SI-CERT je opozoril, da je v prihodnjih tednih mogoče pričakovati več poskusov zlorab, saj so tehnične podrobnosti ranljivosti že prišle v javnost. Podatka o napadih na domače ustanove pa za zdaj nimajo.
So se pa medtem po Sloveniji pričele pojavljati motnje s posameznimi storitvami. Zjutraj so nekateri kupci opozarjali na nezmožnost kartičnega plačevanja pri nekaterih slovenskih trgovcih, trenutno pa je nedostopna tudi spletna stran Promet.si. Kaj od tega je povezanega s posodobitvami oziroma začasnim omejevanjem dostopa do storitev zaradi preventivnih varnostnih razlogov, še preverjamo. Z Darsa so nam medtem sporočili, da portal Promet.si ne deluje zaradi »tehničnih težav«.
Kaj je PHP?
PHP je programski jezik, namenjen zlasti izdelavi spletnih strani in aplikacij. Nastal je leta 1994, razvil pa ga je dansko-kanadski programer Rasmus Lerdorf. Deluje na spletnem strežniku, torej računalniku, ki uporabnikom prek interneta posreduje spletne strani. Ko obiskovalec odpre stran, strežnik izvede ustrezno kodo PHP, na primer pridobi podatke iz podatkovne zbirke, obdela prijavo uporabnika ali pripravi vsebino strani, nato pa brskalniku pošlje rezultat, običajno v obliki HTML, ki ga ta prikaže. PHP je zato pomemben del delovanja številnih spletnih mest, tudi takšnih, katerih vsebina se spreminja glede na uporabnika ali njegove dejavnosti.
PHP med drugim poganja spletne trgovine, spletno enciklopedijo wikipedija in sistem WordPress, na katerem temeljijo številne spletne strani. Opozorilo o ranljivostih je povzročilo motnje v različnih državah. Organizacija Wikimedia, ki upravlja wikipedijo, je iz previdnosti izklopila več sistemov. Svoje spletne strani so začasno umaknili tudi nekateri evropski državni organi, mestni svet Edinburga, BBC in nizozemska agencija za kibernetsko varnost. Podobno so ravnali nekateri zdravstveni zavodi.
Pozivi k takojšnjemu ukrepanju
Razvijalci PHP so v sredo objavili varnostne popravke, s katerimi naj bi odpravili odkrite pomanjkljivosti. »Vsem uporabnikom PHP toplo priporočamo, da nemudoma posodobijo programsko opremo,« so sporočili. Ameriška agencija za nacionalno varnost (NSA) je organizacijam svetovala, naj sisteme začasno izklopijo, če ranljivosti ne morejo takoj odpraviti, saj bi napadalcem lahko omogočile neposreden dostop do podatkovnih zbirk.
Britanski nacionalni center za kibernetsko varnost je poleg posodobitev priporočil tudi preverjanje, ali so napadalci v sisteme namestili skrita orodja za poznejši dostop. Podobna opozorila so izdale pristojne ustanove v Evropski uniji in Avstraliji. Japonska premierka Sanae Takaiči je uporabnike javno dostopnih spletnih strani pozvala, naj preverijo, ali uporabljajo PHP, in čim prej ukrepajo.
Umetna inteligenca kot obramba in tveganje
OpenAI je opozoril, da primer kaže dvojno naravo umetne inteligence: pomaga odkrivati varnostne pomanjkljivosti, hkrati pa lahko napadalcem olajša in pospeši razvoj orodij za zlorabe. Podjetje je objavilo tudi program za preverjanje varnosti PHP. Ryan Ko iz raziskovalnega centra za kibernetsko varnost Univerze v Queenslandu je opozoril, da je bila številna starejša programska oprema zasnovana predvsem za zagotavljanje funkcionalnosti, ne pa varnosti.
Uporabnikom strokovnjaki medtem svetujejo, naj upoštevajo priporočila prizadetih storitev, denimo morebitne zahteve po spremembi gesel, ter bodo pozorni na lažna sporočila, s katerimi bi lahko izkoristili zaskrbljenost zaradi ranljivosti.