Η PHP μπορεί να μην είναι γνωστό, αλλά η γλώσσα προγραμματισμού, που κυκλοφόρησε πριν από 30 χρόνια, τροφοδοτεί ένα μεγάλο μερίδιο ιστότοπων και εφαρμογών Ιστού. Σχεδόν το 70% του Διαδικτύου εκτιμάται ότι χρησιμοποιεί PHP, συμπεριλαμβανομένου του WordPress, το οποίο χρησιμοποιείται για περισσότερο από το 40% των ιστότοπων.
Τώρα η ομάδα ανάπτυξης της PHP προτρέπει τους χρήστες να ενημερώσουν αμέσως μετά τη διόρθωση δύο κρίσιμων σημείων ευπάθειας, με βαθμολογία 9,2 στα 10 ως προς τον κίνδυνο, τα οποία, εάν εκμεταλλευτούν, θα μπορούσαν να επιτρέψουν στους εισβολείς να καταλάβουν τους διακομιστές του Διαδικτύου.
Την Τετάρτη, η ομάδα ανάπτυξης της PHP κυκλοφόρησε ενημερώσεις που “διορθώνουν δύο κρίσιμα τρωτά σημεία που μπορούν να επιτρέψουν την εκτέλεση απομακρυσμένου κώδικα χωρίς έλεγχο ταυτότητας. Όλοι οι χρήστες της PHP ενθαρρύνονται να ενημερώσουν αμέσως”, σύμφωνα με τον επίσημο ιστότοπο της PHP.
Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) δήλωσε την Τετάρτη ότι «προτρέπει έντονα τους οργανισμούς να επιδιορθώσουν άμεσα τα πρόσφατα αποκαλυφθέντα κρίσιμα τρωτά σημεία στην PHP», σημειώνοντας ότι ενώ «δεν έχει παρατηρήσει εκμετάλλευση αυτών των τρωτών σημείων μέχρι τη στιγμή της δημοσίευσης, αποτελούν κίνδυνο για τους οργανισμούς εάν αφεθούν χωρίς επισκευή».ΕΝΑ
Ομοίως, το τμήμα Cyber του FBI προέτρεψε όλους τους δυνητικά επηρεασμένους οργανισμούς να «ενημερώσουν άμεσα τις επηρεαζόμενες εγκαταστάσεις PHP».
«Εάν δεν είναι εφικτή μια άμεση ενημέρωση, συνιστάται στους οργανισμούς να θέσουν το σύστημα εκτός σύνδεσης μέχρι να μπορέσει να μετριαστεί πλήρως», ανέφερε το FBI.
Το Εθνικό Κέντρο Κυβερνοασφάλειας της κυβέρνησης του Ηνωμένου Βασιλείου ενθάρρυνε επίσης τους οργανισμούς “να προετοιμαστούν για άμεση ενημέρωση συστημάτων που χρησιμοποιούν PHP. Όπου η άμεση αποκατάσταση δεν είναι εφικτή, οι οργανισμοί θα πρέπει να εξετάσουν το ενδεχόμενο να θέσουν το σύστημα εκτός σύνδεσης μέχρι να μπορέσει να μετριαστεί πλήρως”.
Το Open AI δημοσίευσε το πρωί της Τετάρτης ότι τα μοντέλα AI τους βοήθησαν τους ερευνητές να ανακαλύψουν τα ελαττώματα της PHP.
«Τους τελευταίους δύο μήνες, ηγηθήκαμε μια συμμαχία συντηρητών, ερευνητών και παρόχων ασφάλειας για να προετοιμάσουμε διορθώσεις και προστασίες πριν από την αποκάλυψη», ανέφερε εν μέρει η ανάρτηση. “Λόγω της σοβαρότητας αυτών των ελαττωμάτων και της ευρείας χρήσης της PHP, θεωρούμε ότι αυτό το σφάλμα είναι ένα από τα πιο σημαντικά τρωτά σημεία στην πρόσφατη μνήμη. Σηματοδοτεί επίσης μια νέα φάση, όπου η τεχνητή νοημοσύνη μπορεί να βρει σφάλματα ασφαλείας με επιπτώσεις σε κλίμακα Διαδικτύου.”
Η εταιρεία πρόσθεσε ότι πιστεύει ότι το μοντέλο τεχνητής νοημοσύνης της εντόπισε τα προβλήματα προτού οι χάκερ μπορέσουν να εκμεταλλευτούν τα τρωτά σημεία.ΕΝΑ
Το OpenAI έχει τεθεί υπό αυξημένο έλεγχο τους τελευταίους μήνες μετά τις αποκαλύψεις ότι τα μοντέλα τεχνητής νοημοσύνης τους επιτέθηκαν σε πολυάριθμους ιστότοπους, συμπεριλαμβανομένων ιστοτόπων της κυβέρνησης των ΗΠΑ και αντίπαλων εταιρειών τεχνητής νοημοσύνης.
Σε μια διαδικτυακή ανάρτηση αργότερα την Τετάρτη, το PHP Foundation είπε ότι “μια πιθανή εκμετάλλευση” για το πρόβλημα του κώδικα θεωρητικοποιήθηκε ήδη από το 2024, “αλλά δεν βρέθηκαν συγκεκριμένα διανύσματα και άλλα συγκεκριμένα ζητήματα με σαφή αντίκτυπο επισκίασαν αυτές τις ανησυχίες.” επανειλημμένα σε μήνες.â€
Το PHP Foundation λέει ότι εισήγαγε το έργο PHP στο Patch the Planet του OpenAIπρόγραμμα και έλεγχος ασφαλείας ξεκίνησε τον Ιούλιο. Τον Σεπτέμβριο, το OpenAI εντόπισε τρόπους εκμετάλλευσης των τρωτών σημείων, σύμφωνα με το PHP Foundation, το οποίο είπε ότι οι πληροφορίες – και πρόσθετες αναφορές από έναν ερευνητή ασφαλείας και τον πάροχο ιστότοπου Wiz – τους έπεισαν ότι η επιδιόρθωση του προβλήματος έπρεπε να είναι «υψηλής προτεραιότητας» και ξεκίνησαν τη δουλειά στις 11 Αυγούστου.
Μόλις τα τρωτά σημεία “άρχισαν να κυκλοφορούν σε διαδικτυακά φόρουμ και μέσα κοινωνικής δικτύωσης” τις τελευταίες ημέρες, η ομάδα ανάπτυξης της PHP αποφάσισε να προωθήσει την προγραμματισμένη ανακοίνωσή της και να διορθώσει, ανέφερε η ανάρτηση.
«Δεν θα προσποιηθούμε το αντίθετο: η καθυστέρηση ήταν μια δομική αποτυχία», πρόσθεσε η ανάρτηση.
Πριν από την κυκλοφορία της επιδιόρθωσης PHP, η εταιρεία κυβερνοασφάλειας watchTowr δήλωσε την Τρίτη ότι πίστευε ότι οι ευπάθειες “θα μπορούσαν να επιτρέψουν στους εισβολείς να εκτελέσουν τον δικό τους κώδικα σε διακομιστές που επηρεάζονται” και ότι “οι οργανισμοί που εκτελούν την PHP στην παραγωγή θα πρέπει να προετοιμαστούν για γρήγορη ενημέρωση μόλις κυκλοφορήσει μια επίσημη επιδιόρθωση.â€
Η ομάδα της PHP είπε ότι η ενημέρωση του κώδικα είναι η μόνη ολοκληρωμένη λύση. Ενώ παραθέτει προσωρινά μέτρα για την αντιμετώπιση των τρωτών σημείων, όπως η προσαρμογή των ρυθμίσεων μνήμης και μεταφόρτωσης, σημειώνει ότι αυτά τα μέτρα μειώνουν μόνο την έκθεση και δεν κάνουν έναν διακομιστή ασφαλή από πιθανή εκμετάλλευση.
