Οι ευπάθειες παρέμεναν απαρατήρητες για περισσότερο από μία δεκαετία. Η αποκάλυψή τους με τη βοήθεια τεχνητής νοημοσύνης —και η πρόωρη διαρροή πληροφοριών για αυτές— προκάλεσαν αγώνα δρόμου: οι διαχειριστές καλούνται να εγκαταστήσουν τις διορθώσεις πριν προλάβουν οι επιτιθέμενοι να αξιοποιήσουν τα κενά. Υπολογίζεται πως έως και 30 εκατομμύρια ιστότοποι είναι εκτεθειμένοι σε κίνδυνο. 

Τι ακριβώς είναι η PHP, γιατί το πρόβλημα έχει τόσο μεγάλη έκταση και τι σημαίνει για τον απλό χρήστη; Το BBC εξηγεί τα βασικά σημεία της υπόθεσης.

Τι είναι η PHP;

Η PHP είναι γλώσσα προγραμματισμού που χρησιμοποιείται για την κατασκευή και τη λειτουργία ιστοσελίδων. Το όνομά της προέρχεται από το «PHP: Hypertext Preprocessor».

Σε αντίθεση με όσα βλέπει ο επισκέπτης στην οθόνη του, η PHP λειτουργεί στον διακομιστή μιας ιστοσελίδας: επεξεργάζεται πληροφορίες και βοηθά να εμφανιστεί το περιεχόμενο που ζητά ο χρήστης.

Όπως εξήγησε στο BBC ο Πολ Σπέιν, διευθύνων σύμβουλος της Gorilla Cyber Security, όταν κάποιος επισκέπτεται τη Wikipedia, η PHP συγκεντρώνει τις απαραίτητες πληροφορίες και τις παρουσιάζει σε αναγνώσιμη μορφή.

Χρησιμοποιείται επίσης σε ηλεκτρονικά καταστήματα και στο WordPress, το σύστημα διαχείρισης περιεχομένου στο οποίο βασίζονται πολυάριθμοι ιστότοποι και ιστολόγια. Η μεγάλη διάδοσή της εξηγεί γιατί ένα σοβαρό πρόβλημα ασφαλείας μπορεί να έχει διεθνείς επιπτώσεις.

Τι θα μπορούσαν να κάνουν οι χάκερ;

Οι ευπάθειες θα μπορούσαν να επιτρέψουν σε επιτιθέμενους να αποκτήσουν έλεγχο επηρεαζόμενων διακομιστών χωρίς προηγούμενη ταυτοποίηση και να υποκλέψουν ευαίσθητα δεδομένα.

Ο δυνητικός κίνδυνος αφορά επομένως τόσο τη λειτουργία μιας ιστοσελίδας όσο και τις πληροφορίες που αποθηκεύει, περιλαμβανομένων στοιχείων χρηστών ή πελατών.

Η ερευνήτρια κυβερνοασφάλειας του Πανεπιστημίου της Αδελαΐδας, Τζιλ Σλέι, προειδοποίησε ότι η αξιοποίηση των κενών από εγκληματίες ή κράτη για την υποκλοπή ιδιωτικών δεδομένων θα μπορούσε να έχει καταστροφικές συνέπειες.

Ωστόσο, η ύπαρξη μιας ευπάθειας δεν σημαίνει ότι κάθε ιστοσελίδα που χρησιμοποιεί PHP έχει παραβιαστεί. Η πιθανή έκθεση, η απόπειρα επίθεσης και η επιτυχής πρόσβαση σε δεδομένα είναι διαφορετικά πράγματα.

Γιατί κατέβηκαν τόσες ιστοσελίδες;

Για ορισμένους οργανισμούς, η προσωρινή διακοπή λειτουργίας αποτέλεσε προληπτικό μέτρο μέχρι να εγκατασταθούν οι διορθώσεις.

Το Wikimedia Foundation, που βρίσκεται πίσω από τη Wikipedia, απέσυρε προσωρινά ορισμένα συστήματα. Αντίστοιχα μέτρα έλαβαν η φινλανδική κυβέρνηση, η ολλανδική υπηρεσία κυβερνοασφάλειας και δημόσιοι οργανισμοί στη Σκωτία. Εκτός λειτουργίας τέθηκε επίσης η ιστοσελίδα του Πανεπιστημίου της Γενεύης.

Προβλήματα πρόσβασης καταγράφηκαν και σε σελίδες του BBC, χωρίς να έχει επιβεβαιωθεί σε όλες τις περιπτώσεις σύνδεση με την PHP.

Το κατέβασμα ενός ιστοτόπου, συνεπώς, δεν αποτελεί απόδειξη παραβίασης. Μπορεί να είναι η επιλογή των διαχειριστών για να αποτρέψουν μια επίθεση όσο εργάζονται για την ασφάλειά του.

Πώς εντόπισε τα κενά η τεχνητή νοημοσύνη;

Ερευνητές των εταιρειών κυβερνοασφάλειας Calif και Wiz χρησιμοποίησαν προηγμένα εργαλεία AI για να αναλύσουν κώδικα και να εντοπίσουν αδυναμίες.

Η τεχνητή νοημοσύνη μπορεί να επιταχύνει σημαντικά μια εργασία που, λόγω της πολυπλοκότητας του σύγχρονου λογισμικού, είναι εξαιρετικά απαιτητική για τους ανθρώπους.

Όπως εξήγησε στο BBC ο ερευνητής του Πανεπιστημίου της Νέας Νότιας Ουαλίας στο Σίδνεϊ, Σαλίλ Κανχέρε, τα προβλήματα δεν ήταν καινούργια. Εκείνο που άλλαξε ήταν η δυνατότητα εντοπισμού τους.

Η Wiz χαρακτήρισε τα κενά τα σοβαρότερα που έχουν ανακαλυφθεί μέχρι σήμερα με τη βοήθεια AI. Η OpenAI, της οποίας η τεχνολογία χρησιμοποιήθηκε στην έρευνα, περιέγραψε την ανακάλυψη ως ένα από τα σημαντικότερα ζητήματα ασφαλείας των τελευταίων ετών.

Γιατί χρειάστηκε επείγουσα κινητοποίηση;

Η διαρροή λεπτομερειών στο διαδίκτυο ανάγκασε τους υπευθύνους της PHP να επισπεύσουν την ανακοίνωση και τη διάθεση των διορθώσεων.

Από τη στιγμή που οι πληροφορίες γίνονται δημόσιες, μπορούν να αξιοποιηθούν και από επιτιθέμενους. Η AI ενδέχεται να επιταχύνει και αυτή τη διαδικασία, βοηθώντας στην ανάπτυξη εργαλείων εκμετάλλευσης των κενών.

Η Amazon ανακοίνωσε ότι είχε εντοπίσει πολλαπλές απόπειρες εκμετάλλευσης ακόμη και πριν από τη δημόσια γνωστοποίηση του προβλήματος. Δεν είναι γνωστό πώς οι επίδοξοι επιτιθέμενοι είχαν πληροφορηθεί την ευπάθεια.

Ο Κανχέρε εκτιμά ότι οι προσπάθειες θα ενταθούν τις επόμενες εβδομάδες, καθώς δημοσιοποιούνται περισσότερα τεχνικά στοιχεία. Ιδιαίτερα εκτεθειμένοι μπορεί να βρεθούν πλημμελώς συντηρημένοι ιστότοποι μικρότερων οργανισμών, με περιορισμένους πόρους για την ασφάλειά τους.

Τι πρέπει να κάνουν οι διαχειριστές;

Οι υπεύθυνοι των ιστοσελίδων καλούνται να εγκαταστήσουν άμεσα τις κατάλληλες ενημερώσεις ασφαλείας και να ακολουθούν τις οδηγίες των παρόχων λογισμικού και των αρμόδιων αρχών.

Η αμερικανική Υπηρεσία Εθνικής Ασφαλείας (NSA) συνέστησε στους οργανισμούς που δεν μπορούν να εφαρμόσουν άμεσα τις διορθώσεις να θέσουν τα συστήματά τους εκτός διαδικτύου.

Αντίστοιχη σύσταση εξέδωσε το βρετανικό Εθνικό Κέντρο Κυβερνοασφάλειας, ζητώντας επιπλέον ελέγχους για τυχόν «κερκόπορτες» που μπορεί να έχουν εγκαταστήσει εισβολείς. Προειδοποιήσεις εξέδωσαν επίσης αρχές στην ΕΕ, στη Σιγκαπούρη και στην Αυστραλία.

Η εγκατάσταση της διόρθωσης αποτελεί σχετικά μικρή και συνήθη εργασία για τις περισσότερες τεχνικές ομάδες, σύμφωνα με τον Σπέιν. Απαιτείται, όμως, συνεχής παρακολούθηση των νεότερων οδηγιών και ενημερώσεων.

Τι μπορούν να κάνουν οι χρήστες;

Το κύριο βάρος της αντιμετώπισης βρίσκεται στις επιχειρήσεις και στους οργανισμούς που λειτουργούν τις ιστοσελίδες.

Οι χρήστες πρέπει να παρακολουθούν τυχόν επίσημες ειδοποιήσεις από υπηρεσίες που χρησιμοποιούν και να ακολουθούν συγκεκριμένες οδηγίες ασφαλείας, όπως αίτημα αλλαγής κωδικού πρόσβασης.

Χρειάζεται επίσης προσοχή σε μηνύματα ηλεκτρονικού «ψαρέματος» που μπορεί να εκμεταλλεύονται τη δημοσιότητα γύρω από τον συναγερμό. Ένα μήνυμα που επικαλείται τα κενά ασφαλείας για να ζητήσει κωδικούς ή να παρακινήσει σε βιαστικό πάτημα συνδέσμου μπορεί να αποτελεί απόπειρα εξαπάτησης.

Το κρίσιμο στοίχημα είναι ο χρόνος: να διορθωθούν οι ευάλωτες υπηρεσίες πριν οι αδυναμίες τους μετατραπούν σε πρόσβαση στα δεδομένα των χρηστών.