Egy ebben a hétben nyilvánosságra hozott figyelmeztetés szerint a nyílt forráskódú programozási nyelv, a PHP több kritikus sérülékenységet tartalmazott, ami miatt a weboldaltulajdonosoknak azonnal javítaniuk kellett a rendszereiket — vagy, ha ez nem volt lehetséges, ideiglenesen le kellett vennie a webhelyet a biztonság érdekében.
A TechCrunch Equity című podcastjának eheti adásában Kirsten Korosec, Sean O’Kane és Anthony a „PHP-ocalypse” jelentőségéről beszéltek, és arról, hogy várhatóan lesznek-e hasonló események a jövőben.
Mi történt és miért fontos
A vita során többször is elhangzott, hogy maga a sérülékenység nem új keletű: a PHP-ben található hiba évtizedek óta jelen lehetett, miközben a PHP a web egyik alapvető összetevője. A PHP (Hypertext Preprocessor) a tartalomkezelő rendszerek — például a WordPress és Drupal — mögött álló technológiák egyike, és becslések szerint mintegy 70%-át adja a webhelyeknek, ami tízmillióknál mérhető léptéket jelent.
A támadásveszély sürgősségét az adta, hogy a sérülékenységet felfedezők szerint az LLM-ek és az AI eszközök megkönnyíthetik hasonló hibák feltárását és kihasználását. A beszélgetés szerkesztett kivonatában egyértelművé vált: bár ebben az esetben a hibát emberi kutatók találták meg (az OpenAI és a Wiz Hack the Planet kezdeményezésében részt vevők), az AI-k alkalmazása a folyamatos biztonsági vizsgálatokban gyorsítja és szélesíti a felfedezések körét.
A kockázatok és a reagálás nehézségei
Sean O’Kane úgy jellemezte az eseményt, mint „a valóságra ébredés pillanata”, amely rávilágít arra, hogy az internet mélyebb rétegei mennyire támaszkodnak régi, nyílt forráskódú szoftverekre: „amikor lemegyünk az internet csontszintjére, sok minden ragasztóval és álmokkal van összetartva.”
A helyzetet súlyosbította a nyilvánosságra hozatal és a közzétételi menet körüli problémák: több szereplő megkerülhette az embargoidőt, ami versenyt indított a támadók között. Matthew Prince, a Cloudflare vezérigazgatója közlése szerint a PHP2Shell kihasználására irányuló próbálkozások milliószámra emelkedtek.
A gyakorlatban ez azt jelentette, hogy néhány kormányzati és nagyon népszerű weboldalt le kellett venni átmenetileg, hogy a javításokat alkalmazni tudják, míg más szolgáltatók és biztonsági csapatok, köztük az Amazon által üzemeltetett megtévesztő (honeypot) hálózat, már a nyilvánosság előtti felfedezés előtt észleltek kihasználási kísérleteket.
Hosszabb távú következmények: linkrot, adat- és privátélet-kockázatok
Kirsten Korosec kiemelte a skálát: rengeteg weboldalról van szó, sokan ráadásul nem is tudják, hogy PHP-t használnak. Emiatt a rövid távú reakciók — oldalak lekapcsolása a gyors javítás helyett — további problémákat okozhatnak, például a linkrotot: olyan weboldalak és archívumok válnak elérhetetlenné, amelyek helyi vagy történelmi információkat tartalmaztak.
Továbbá felmerül a félelem, hogy ha a jelenlegi helyzetet hasonló vagy fejlettebb automatizált eszközök egészítik ki, komolyabb célpontok, például bankok vagy kormányzati rendszerek is veszélybe kerülhetnek, ami nagyobb adat- és magánéletvédelmi kockázatot jelent.
A nyílt forráskódú alapok és a jövő
A beszélgetés során többször szó esett arról, hogy az internet jelentős része nyílt forráskódú technológiákra épül, és ez egyszerre erőforrás és kockázat. A hibák diszkrét, célzott jellegű bejelentése működhet egy-egy szoftver gyártó esetében, de egy ilyen alapvető komponensnél nincs egyszerű módja annak, hogy minden érintettet gyorsan és biztonságosan értesítsenek.
A résztvevők arra is utaltak, hogy a jelen helyzet új vállalkozásokat indíthat el vagy arra ösztönözheti a közösséget, hogy nyílt forráskódú védelmi eszközökből építkezzenek (például az NVIDIA-hoz hasonló cégek által kínált megoldásokra támaszkodva). Ugyanakkor hangsúlyozták: a jelenlegi helyzet felhívás a szélesebb körű felkészülésre és a biztonsági gyakorlatok megerősítésére.
Összefoglalás
A PHP sérelmét kihasználó, vagy azt megcélzó kampányok ismét ráirányították a figyelmet arra, hogy milyen törékeny alapokra épül az internet infrastruktúrája. A döntéshozók, rendszergazdák és szolgáltatók előtt két közvetlen feladat áll: mihamarabbi javítások telepítése, illetve stratégiák kidolgozása arra, hogyan lehet a jövőben gyorsabban és biztonságosabban kezelni hasonló, széles körű sebezhetőségeket.
