Két súlyos biztonsági rést fedeztek fel a PHP programozási nyelvben, amelyek kihasználásával a támadók távolról, jelszó nélkül is programokat futtathatnak a sérülékeny szervereken. A hibák nyilvánosságra kerülése után szerdán több országban elővigyázatosságból ideiglenesen leállítottak kormányzati és közszolgálati weboldalakat, és világszerte több millió szervert érintő kockázatra hívták fel a figyelmet.
Mi történt és mikor
A problémát felfedezők — a Calif és a Wiz kiberbiztonsági kutatócsapatok — bejelentése szerint a hibák több mint egy évtizeden át észrevétlenek maradhattak. A hibák feltárásában OpenAI által fejlesztett, korszerű mesterséges intelligencia modelleket használtak; a Wiz blogbejegyzése szerint ezek a modellek kulcsszerepet játszottak abban, hogy néhány óra alatt működőképes kihasználási módszereket fejlesszenek.
A PHP fejlesztői szerdán délután tették közzé a biztonsági javításokat.
Következmények Európában
- A hibák nyilvánosságra kerülése után ideiglenesen elérhetetlenné vált a Wikipédia, a DeviantArt és a BBC honlapjának egyes aloldalai.
- Hollandiában megelőző intézkedésként lekapcsolták többek között a rotterdami kikötő online rendszereit, a kormányzati ügyintézési portált, több kórház és az öt legnagyobb politikai párt honlapját; a nemzeti kiberbiztonsági központ saját weboldalát is leállították.
- Finnország több kormányzati internetes szolgáltatást függesztett fel.
- Dániában lekapcsolták az iskolák és szülők közti kapcsolattartásra használt országos rendszert.
- Franciaországban a Belügyminisztérium ideiglenesen leállította egyes helyi közigazgatási szervek honlapjait.
A leállításokat a hatóságok elővigyázatosságból rendelték el; hivatalos jelentés szerint ezekről a kormányzati rendszerek feltöréséről nem érkezett megerősített bejelentés.
Biztonsági szolgáltatók és támadási kísérletek
A Cloudflare internetbiztonsági cég már a javítások megjelenése előtt észlelte, hogy támadók megpróbálják kihasználni a sebezhetőségeket. A szakértők hangsúlyozták, hogy a WordPress-hez vagy más tartalomkezelőkhöz kapcsolódó szokásos frissítések önmagukban nem elegendőek: szükséges a szerveren futó PHP verzió frissítése is.
A felfedező cégek — Calif és Wiz — azt állítják, hogy az AI segítségével talált hibák a technológia által eddig felfedezett legsúlyosabbak közé tartoznak, és a Wiz becslése szerint a probléma az internet „körülbelül 70%-át” érintheti; ezt az arányt a BBC nem tudta függetlenül ellenőrizni.
Magyarországi reagálás
A Nemzeti Kiberbiztonsági Intézet riasztást adott ki a kritikus besorolású hibák miatt, és sürgette a javítások haladéktalan telepítését. Az intézet azt javasolta, hogy ahol a gyors frissítés nem lehetséges, az érintett rendszereket ideiglenesen válasszák le az internetről vagy szükség esetén állítsák le.
Miért fontos ez
A PHP-t széles körben használják weboldalak és webes szolgáltatások futtatására; ezért a benne talált kritikus hibák nagy számú szervert és szolgáltatást tehetnek kockázatossá. A fejlesztők által kiadott javítások telepítése a szakértők szerint létfontosságú ahhoz, hogy megakadályozzák a távoli kódfuttatást és az ebből adódó esetleges adatvesztést vagy szolgáltatás-kimaradást.
