Итна безбедносна закрпа: критични ранливости во PHP ги принудија владите и медиумите да ги исклучат своите страници

Меѓународни влади и агенции ги повикаа сопствениците на веб-страници итно да ги отстранат две критични безбедносни пропусти во програмскиот јазик PHP, кој стои зад голем дел од интернетот. Ранливостите беа откриени во самиот јазик, а закрпа беше објавена во средата попладне, пренесува BBC.

Повеќе агенции за сајбер-безбедност побараа од организациите кои не можат навреме да ја применат закрпата да размислат за привремено исклучување на своите страници. Така, финската влада, советот на Единбург и BBC веќе ставија делови од своите интернет-содржини надвор од функција. Финската влада привремено ги затвори јавните веб-услуги, а холандската агенција за сајбер-безбедност соопшти дека ја исклучува сопствената страница поради ранливостите. Американската Национална безбедносна агенција даде сличен совет — организациите што не можат да го ажурираат системот да го исклучат, бидејќи овие пропусти „често обезбедуваат директен пат до датотечниот систем или базата на податоци на серверот“. Белата куќа соопшти дека федералните агенции соработуваат со водечките лаборатории за вештачка интелигенција за забрзување на решението, а јапонската премиерка Санае Такаичи ги повика граѓаните да проверат дали нивните јавни страници работат на PHP.

Ранливостите ги открија истражувачи од фирмите Calif и Wiz, дел од програмата на OpenAI наречена Patch the Planet, преку која добија пристап до напредни алатки за вештачка интелигенција за пронаоѓање и отстранување пропусти во јазиците за веб-развој. OpenAI оцени дека откритието е „едно од најзначајните безбедносни прашања во последно време“, а Wiz ги опиша како „најтешките ранливости досега откриени“ од вештачката интелигенција. Пропустите останале неоткриени повеќе од една деценија, а беа пронајдени по неколку недели користење на напредните алатки. Wiz проценува дека е засегнат „грубо 70 отсто“ од интернетот, бројка што BBC не може да ја потврди.

Фондацијата PHP имала намера откритието да го објави кон крајот на месецот заедно со целосна закрпа, но деталите за пропустите беа протечени на социјалните мрежи во вторникот. Тоа ја принуди фондацијата набрзина да го објави соопштението за ранливоста и нејзиниот огромен обем. Меѓу погодените страници се и делови од Википедија, чија Фондација Викимедија соопшти дека „како претпазлива мерка исклучивме голем број други системи додека не бидат безбедно закрпени“. Недостапни беа и страницата на советот на Единбург, како и интернет-домаќините на неколку BBC-програми, меѓу кои Doctor Who и The Traitors, без потврдена врска со PHP. Платформата за уметност DeviantArt соопшти дека е „привремено исклучена поради одржување“, без да го наведе причината.

Националниот центар за сајбер-безбедност на Обединетото Кралство, заедно со колегите од ЕУ и Австралија, побараа од корисниците на PHP да ги применат закрпите. „Онаму каде што итна санација не е изводлива, организациите треба да размислат за исклучување на системот додека целосно не се ублажи проблемот“, се наведува во соопштението. Од компанијата за сајбер-безбедност Huntress предупредуваат дека „PHP е насекаде“ — тивко стои зад WordPress, Drupal, Joomla и Magento, платформите за заедничко хостирање, контролните панели и мноштво софтвер што воопшто не открива дека работи на PHP. Експертот Дон Смит од Sophos Counter Threat Unit изјави за BBC дека ова „веројатно ќе биде приоритетна цел“ за хакерите и дека вистинскиот предизвик не е само инсталирање на закрпата, туку пронаоѓање и управување со секоја инстанца каде што работи PHP.