Két kritikus sebezhetőséget fedeztek fel a PHP programozási nyelvben, amelyet világszerte a weboldalak mintegy 70%-a használ. Az egyik hibát részben egy OpenAI modell segítségével azonosították; a felfedezés miatt kormányok és biztonsági csapatok — az Egyesült Államoktól Japánig — sürgetik a rendszerek azonnali javítását vagy ideiglenes leállítását.
Mi történt
Biztonsági kutatók két olyan hibát találtak a nyílt forráskódú PHP-ben, amelyeket a támadók viszonylag könnyen kihasználhatnak, és amelyek súlyos következményekkel járhatnak. OpenAI maga is hangsúlyozta, hogy az egyik sebezhetőség felfedezésében szerepe volt a modelljének, ami lehetővé tette a PHP-kutatók számára egy javítás kidolgozását.
Néhány weboldal-tulajdonos még szerdán bizonyos szolgáltatásokat elérhetetlenné tett — például egyes Wikipedia-szolgáltatásokat és 4chan részeit —, hogy legyen idejük a rendszereket javítani.
Miért számít ez
A hibák kihasználása lehetővé teszi rosszindulatú szereplők számára, hogy jelszó vagy más hitelesítési adat nélkül vegyék át a sebezhető szerverek feletti irányítást. Mivel a PHP sokféle internetes alkalmazás alatt fut, ez weboldalak ellopását, érzékeny adatok kiszivárgását és weboldalak manipulálását eredményezheti.
A Wiz kutatói szerint ezek a felfedezések "a legsúlyosabbak közé tartoznak, amelyeket a PHP-ben megtaláltak, és egyben vitathatóan a szoftvertörténelemben is". Ugyanakkor a Wiz csapata megjegyezte, hogy a hibák kihasználhatósága egy rendkívül összetett lépéssorozatot igényelt, és ezzel magyarázható, miért léteztek ezek a problémák évtizedekig kifürkészhetetlenül.
A mesterséges intelligencia szerepe és következményei
A felfedezés rávilágít arra a kettős realitásra, amelyet az AI hoz a kiberbiztonságba: ugyanaz a technológia, amely segíthet védekezni és hibákat találni, potenciálisan felgyorsíthatja a támadói eszközök és exploitok fejlesztését is. OpenAI egy szerdai blogbejegyzésében hangsúlyozta, hogy a példa jól mutatja, hogyan képes az AI internetméretű hatású biztonsági hibákat feltárni.
Eddig a biztonsági közösség óvatos volt az AI-alapú sebezhetőségi jelentésekkel szemben, mivel sok bejelentés kisebb hibának vagy téves riasztásnak bizonyult. A mostani PHP-eset azonban arra kényszerítheti a szakmát, hogy újragondolja az AI-val kapcsolatos fenyegetések realitását.
Veszélyességi szint és teendők
Ha a hibákat kihasználják, a támadók teljes hozzáférést szerezhetnek szerverekhez hitelesítés nélkül. Emiatt kormányok és biztonsági csapatok — az Egyesült Államoktól Japánig — felszólították a vállalatokat és üzemeltetőket, hogy azonnal telepítsék a javítást, vagy szükség esetén ideiglenesen vegyék le a szolgáltatást a hálózatokról.
Michael Leland, az Island kezdeti technológiai igazgatója (field CTO) e-mailben azt írta az Axiosnak, hogy a védők eddig mindig a „sebezhető” és a „kihasználható” állapot közötti időbeli hézagban reménykedtek a javításig — ez a hézag azonban gyorsan szűkül.
Ami következhet
A biztonsági védekezők arra számítanak, hogy az elkövetkező hetekben megnőhet azoknak az incidenseknek a száma, amelyek során weboldalakat és szervezeteket ezekkel a PHP-hibákkal kompromittálnak. A felfedezés tovább erősíti az aggodalmakat az internet modern alapjainak törékenységével kapcsolatban, különösen mivel az infrastruktúra nagymértékben támaszkodik önkéntes alapon fejlesztett, nyílt forráskódú szoftverekre.
Összegzés
A PHP két kritikus hibája, amelyeket részben AI-eszközök segítettek feltárni, komoly kiberbiztonsági kockázatot jelent a világszerte futó weboldalak számára. A gyors javítás és a proaktív védelem most kulcsfontosságú, miközben a kiberbiztonsági közösségnek és a döntéshozóknak mérlegelniük kell az AI által gerjesztett új fenyegetések kezelésének módját.
