Krytyczne luki w języku PHP – strony internetowe na całym świecie wyłączane, także strona rady Edynburga

Rządy i agencje z wielu krajów wezwały w środę 21 października właścicieli stron internetowych do usunięcia dwóch krytycznych luk bezpieczeństwa w języku programowania PHP, na którym działa duża część internetu. Jak podaje nadawca publiczny BBC, poprawkę wydano w środę po południu. Agencje ds. cyberbezpieczeństwa zalecają organizacjom, które nie zdążą jej wdrożyć, rozważenie wyłączenia swoich stron. Strony zdjęły m.in. rząd Finlandii, rada Edynburga i BBC.

Luki wykryła sztuczna inteligencja. Firma Wiz, zajmująca się cyberbezpieczeństwem, określiła je jako „najpoważniejsze podatności, jakie kiedykolwiek odkryła” ta technologia, która zmienia oblicze cyberbezpieczeństwa.

Niedostępne strony w wielu krajach

Finlandia czasowo wyłączyła publiczne serwisy internetowe rządu, a holenderska agencja ds. cyberbezpieczeństwa poinformowała, że zdejmuje własną stronę. Amerykańska Agencja Bezpieczeństwa Narodowego (NSA) również zaleciła organizacjom wyłączenie systemów, jeśli nie mogą zainstalować poprawki. „Te podatności często dają bezpośrednią drogę do systemu plików lub bazy danych serwera” – napisała NSA. Biały Dom przekazał, że agencje federalne współpracują z czołowymi laboratoriami sztucznej inteligencji, by przyspieszyć naprawę. Premier Japonii Sanae Takaichi zaapelowała, by sprawdzić, czy publicznie dostępne strony działają na PHP.

Fundacja Wikimedia, która prowadzi Wikipedię, zapowiedziała, że usuwa luki, i zapobiegawczo wyłączyła część innych systemów. W efekcie w środę część Wikipedii była niedostępna. Niedostępna stała się też strona rady Edynburga oraz strony kilku programów BBC, m.in. Doctor Who i The Traitors – nie potwierdzono jednak związku z PHP. Platforma artystyczna DeviantArt podała, że jest „czasowo wyłączona z powodu prac konserwacyjnych”, bez podania przyczyny. W Holandii niedostępne są też strony państwowego instytutu zdrowia publicznego i środowiska oraz izby niższej parlamentu (Tweede Kamer).

Około 70 procent internetu

Luki odkryli badacze firm Calif i Wiz, którzy korzystali z najnowocześniejszej sztucznej inteligencji firmy OpenAI. OpenAI uznało we wpisie na blogu, że to „jeden z najpoważniejszych problemów bezpieczeństwa w ostatnim czasie”. Według firm luki przez ponad dekadę pozostawały niewykryte. Wiz szacuje, że dotyczą „około 70 procent” internetu, choć BBC nie może tej liczby zweryfikować.

Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC), podobnie jak jego odpowiedniki w UE i Australii, wezwało użytkowników PHP do wdrożenia poprawek. „Tam, gdzie natychmiastowa naprawa nie jest możliwa, organizacje powinny rozważyć wyłączenie systemu do czasu pełnego usunięcia zagrożenia” – zaleciło NCSC. Po aktualizacji organizacje powinny stale śledzić poprawki bezpieczeństwa od dostawców oprogramowania, także urządzeń i usług, które mogą zawierać PHP.

Hakerzy już atakują

Ekspert ds. cyberbezpieczeństwa Don Smith z zespołu Sophos Counter Threat Unit ocenił w rozmowie z BBC, że luki będą „prawdopodobnie priorytetowym celem” hakerów. Jak wyjaśnił, wyzwaniem jest nie tylko zainstalowanie poprawki, ale znalezienie każdego miejsca, w którym działa PHP. Dyrektor ds. technologii w firmie Cloudflare Dane Knecht przekazał, że widać już pierwsze ataki.

Zespół reagowania na zagrożenia komputerowe instytucji UE (CERT-EU) podał, że luki mogą umożliwiać zdalne wykonanie kodu bez uwierzytelnienia, co mogłoby pozwolić hakerom zainstalować złośliwe oprogramowanie i wyłączyć strony. Według CERT-EU problem może dotyczyć wszystkich wersji od PHP 5, wydanej w 2004 r. Fundacja PHP wydała poprawkę tylko dla najnowszych wersji, a użytkownicy PHP 8.1 lub starszych powinni przejść na nowszą wersję.