Ozbiljni sigurnosni propusti u programskom jeziku PHP, koji se koristi za izradu i rad velikog broja internetskih stranica, pokrenuli su globalno upozorenje o kibernetičkoj sigurnosti. Ranjivosti su godinama prolazile neotkriveno, a na njihovo otkrivanje presudno je utjecala umjetna inteligencija (AI).
Kako piše BBC, Vlade, sigurnosne agencije i tehnološke kompanije diljem svijeta pokušavaju ograničiti moguće posljedice otkrića. Vlasnicima i administratorima web-stranica upućen je hitan poziv da instaliraju sigurnosno ažuriranje, a organizacijama koje ne mogu odmah zaštititi svoje sustave savjetuje se privremeno gašenje ugroženih platformi.
Tvrtka Wiz, čiji su istraživači sudjelovali u otkrivanju propusta, opisala ih je kao najozbiljnije sigurnosne ranjivosti koje je dosad otkrila umjetna inteligencija. Iz OpenAI-ja, čija je tehnologija pomogla u analizi, poručili su da je riječ o jednom od najznačajnijih sigurnosnih problema posljednjih godina.
Što je PHP i zašto je toliko važan za internet?
PHP je programski jezik koji se od početka 2000-ih intenzivno koristi za izradu internetskih stranica i aplikacija. Iako većina korisnika vjerojatno nikada nije čula za njega, svakodnevno se susreću s njegovom primjenom.
Pokreće velik broj internetskih servisa, uključujući internetske trgovine, Wikipediju i WordPress, sustav za upravljanje sadržajem koji se koristi na milijunima stranica, od osobnih blogova do velikih portala.
Kako je za BBC objasnio Paul Spain, izvršni direktor tvrtke Gorilla Cyber Security, PHP obrađuje podatke potrebne za prikaz internetske stranice i pretvara ih u sadržaj koji korisnici mogu pregledavati.
Upravo zbog njegove široke primjene otkrivene ranjivosti izazvale su veliku zabrinutost. Napadačima bi mogle omogućiti preuzimanje kontrole nad ranjivim web-poslužiteljima bez prethodne autentifikacije, kao i pristup povjerljivim podacima.
Spain procjenjuje da bi problem mogao zahvatiti milijune internetskih stranica. Ako bi kibernetički kriminalci ili državni akteri iskoristili propuste za masovne napade, posljedice za privatnost korisnika i sigurnost podataka mogle bi biti iznimno ozbiljne.
Koje su internetske stranice pogođene?
Sigurnosno upozorenje izazvalo je poremećaje u različitim dijelovima interneta, od platformi za igranje do državnih portala i internetskih foruma.
Među organizacijama koje su poduzele preventivne mjere nalazi se Wikimedia, organizacija koja stoji iza Wikipedije. Dio svojih sustava privremeno je isključila kako bi smanjila rizik od napada.
Svoje internetske stranice ili pojedine sustave privremeno su isključile i neke državne institucije u Finskoj, gradska uprava Edinburgha te BBC. Nizozemska sigurnosna agencija također je povukla svoju internetsku stranicu, a izvanredne mjere zabilježene su i u Škotskoj, gdje su dio javnih institucija, lokalnih uprava i zdravstvenih ustanova privremeno ugasili svoje stranice.
Među pogođenim sustavima bila je i internetska stranica Sveučilišta u Ženevi, koja je isključena nakon upozorenja europskog tima za odgovor na računalne sigurnosne incidente (CERT-EU).
Posebno su zabrinjavajuće moguće posljedice za manje organizacije koje nemaju dovoljno novca, stručnjaka ili tehničkih kapaciteta za redovito održavanje i zaštitu svojih internetskih sustava.
Stručnjaci upozoravaju da bi se pokušaji iskorištavanja ranjivosti mogli pojačati tijekom sljedećih tjedana, osobito zato što su tehnički detalji problema počeli izlaziti u javnost. To napadačima može olakšati pronalaženje ranjivih stranica i razvoj alata za napade.
Instaliranje sigurnosnog ažuriranja u hitnom roku
Nakon otkrivanja problema, razvojni tim PHP-a korisnicima je uputio izravan poziv da što prije ažuriraju svoje sustave.
Upozorenja su stigla i od državnih sigurnosnih agencija. Američka Agencija za nacionalnu sigurnost (NSA) preporučila je organizacijama koje koriste PHP da privremeno isključe sustave ako ih ne mogu odmah zaštititi. Agencija je upozorila da bi ranjivost mogla napadačima otvoriti izravan put do baza podataka.
Britanski Nacionalni centar za kibernetičku sigurnost izdao je slične preporuke te pozvao organizacije da provjere jesu li napadači eventualno instalirali skriveni pristup svojim sustavima, poznat kao backdoor.
Slična upozorenja izdale su i nadležne institucije u Europskoj uniji, Singapuru i Australiji.
Japanska premijerka Sanae Takaichi također je pozvala organizacije i građane da provjere koriste li njihove javno dostupne internetske stranice PHP. U objavi na društvenoj mreži X naglasila je hitnost situacije te poručila da je privremena obustava rada stranica opravdana mjera ako se sigurnosna zakrpa ne može odmah primijeniti.
U međuvremenu su i velike tehnološke kompanije počele provjeravati vlastite sustave. Amazon je izvijestio da se suočio s više pokušaja napada nekoliko dana prije javne objave problema. Zasad nije poznato kako su potencijalni napadači doznali za ranjivost prije nego što je ona službeno objavljena.
Kako je umjetna inteligencija otkrila propuste koje stručnjaci godinama nisu uočili?
Ranjivosti su pronašli istraživači sigurnosnih tvrtki Calif i Wiz koristeći napredne alate umjetne inteligencije za analizu programskog koda.
Takvi alati mogu pregledavati velike i složene količine koda te prepoznati obrasce koji upućuju na sigurnosne slabosti. U određenim slučajevima to mogu učiniti znatno brže od ljudi i tradicionalnih sigurnosnih alata.
Salil Kanhere, istraživač kibernetičke sigurnosti sa Sveučilišta New South Wales u Sydneyju, objasnio je za BBC da su suvremeni softverski sustavi iznimno složeni, zbog čega pojedine ranjivosti mogu ostati neotkrivene godinama.
Ključni problem, prema njegovu objašnjenju, nije nužno nastao nedavno. Greške su već postojale u kodu, ali su nove mogućnosti analize omogućile njihovo otkrivanje.
Iz OpenAI-ja upozorili su da ovaj slučaj pokazuje dvije strane razvoja umjetne inteligencije. Ista tehnologija koja sigurnosnim stručnjacima omogućuje brže pronalaženje slabosti može napadačima pomoći u razvoju alata za iskorištavanje tih slabosti.
Tvrtka je objavila i program za provjeru sigurnosti PHP sustava.
Ryan Ko iz Centra za istraživanje kibernetičke sigurnosti Sveučilišta Queensland istaknuo je da mnoge ranjivosti proizlaze iz načina na koji se softver razvijao u prošlosti, kada se veći naglasak stavljao na funkcionalnost nego na sigurnost.
Otkriće tako otvara važno pitanje za cijelu tehnološku industriju: koliko se još ozbiljnih sigurnosnih problema skriva u sustavima koji godinama pokreću ključne dijelove interneta?
Što vlasnici stranica i korisnici mogu učiniti?
Glavna preporuka stručnjaka vlasnicima internetskih stranica jest da bez odgode instaliraju najnoviju odgovarajuću sigurnosnu verziju PHP-a. Ako ažuriranje nije moguće odmah provesti, potrebno je razmotriti privremeno isključivanje ranjivih sustava dok se problem ne ukloni.
Američka NSA pozvala je organizacije na pojačan oprez tijekom sljedećih tjedana i redovito praćenje sigurnosnih obavijesti proizvođača softvera.
Nakon instalacije preporučuje se provjeriti jesu li sustavi možda već bili kompromitirani, uključujući potragu za neovlaštenim pristupima i skrivenim alatima koje su napadači mogli ostaviti iza sebe.
Iako najveća odgovornost leži na administratorima i vlasnicima stranica, ni korisnici ne bi trebali zanemariti upozorenja. Ako internetski servis zatraži promjenu lozinke ili poduzimanje dodatnih sigurnosnih mjera, preporučuje se provjeriti je li obavijest autentična.
Poseban oprez potreban je zbog mogućih phishing napada, odnosno lažnih poruka kojima kriminalci pokušavaju ukrasti lozinke i druge osobne podatke. Napadači bi mogli iskoristiti zabrinutost javnosti i slati poruke koje se predstavljaju kao hitna sigurnosna upozorenja.
Otkrivanje ranjivosti u PHP-u pokazuje koliko umjetna inteligencija može promijeniti područje kibernetičke sigurnosti. Može pomoći u pronalaženju problema koji su godinama ostajali skriveni, ali istodobno povećava potrebu za brzim reakcijama, redovitim ažuriranjem softvera i boljom zaštitom internetske infrastrukture.
