- Kluczowe słowo jest teraz ważne: zaktualizuj swoją stronę internetową, ponieważ historyczne ataki są w toku i są one napędzane sztuczną inteligencją. – Na pocieszenie możemy powiedzieć, że to dopiero początek. Rządy we wszystkich krajach śpią, a w ciągu najbliższych pięciu lat w centra danych i sztuczną inteligencję zostanie zainwestowanych ponad 10 bilionów dolarów.
„Teraz cyberświat jest w stanie gotowości, i to z dobrego powodu.
Ole Gunnar Solskjaer ujawnił największy problem Manchesteru United po tym, jak odrzucili Erlinga Haalanda
Szczegóły krytycznej słabości języka programowania PHP – kręgosłupa ponad 70% wszystkich stron internetowych – zostały już opublikowane. Luka ta mogła ułatwić hakerom przejęcie i naruszenie milionów stron internetowych oraz informacji przechowywanych na ich serwerach.
Wszystkie główne banki w Stanach Zjednoczonych zostały zaatakowane, a krążą plotki, że konta zostały opróżnione. – Również tutaj, w kraju, firmy, organizacje publiczne i osoby prywatne są atakowane za niską stopę. – Jeśli jeszcze nie zostałeś zaatakowany, zaktualizuj i zmień hasło wszystkich, którzy mają dostęp.
W odpowiedzi kilka europejskich władz i operatorów, w tym Port w Rotterdamie, usunęło swoje strony internetowe z sieci.
Australijska Dyrekcja Sygnałów, amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury oraz podobne instytucje w Wielkiej Brytanii, Europie i Japonii ostrzegały deweloperów stron internetowych o pilne aktualizacje swoich podstawowych systemów – oraz o rozważeniu likwidacji stron internetowych, dopóki bezpieczeństwo nie zostanie zagwarantowane.
Organizacja stojąca za tym darmowym, otwartym językiem opublikowała aktualizacje, które naprawiają błąd, ale wdrożenie aktualizacji na milionach systemów korzystających z PHP zajmie trochę czasu.
Czym jest PHP?
PHP często nazywane jest „kręgosłupem internetu”.
To język programowania – sposób przekazywania instrukcji komputerom – istniejący od 1997 roku i pozwala stronom internetowym obsługiwać dane użytkowników oraz przetwarzać informacje za kulisami.
Siła PHP tkwi w jego wszechstronności. Strony internetowe wykorzystują go do wszystkiego – od logowania użytkowników do kont i prowadzenia sklepów internetowych, po pobieranie danych z baz danych i zasilanie milionów blogów oraz serwisów informacyjnych.
PHP działa na serwerze, a nie na twoim komputerze osobistym. Oznacza to, że większość z nas używa PHP codziennie – nie widząc go wcześniej.
Oś czasu: Od sekretu do przecieku
W sierpniu badacze cyberbezpieczeństwa z firmy Wiz wykorzystali własne narzędzia oraz najnowsze wersje Google Gemini i OpenAI ChatGPT, aby przejrzeć ogromną bazę kodu PHP.
Zespół Wiz szukał ukrytych słabości programistycznych, które atakujący mógłby połączyć w łańcuch, by przejąć kontrolę nad systemem działającym w PHP – po prostu wysyłając starannie przygotowane żądanie przez internet.
W ciągu kilku dni znaleźli sposoby na przebicie się do systemów opartych na PHP od Drupal i WordPress, które są używane w dużej części internetu.
Wiz skontaktował się z zespołem ds. bezpieczeństwa PHP, aby poinformować ich o błędach. Pod koniec września deweloperzy PHP potwierdzili, że problem istnieje, i po cichu rozpoczęli pracę nad rozwiązaniem.
W cyberbezpieczeństwie odpowiedzialne jest zachowanie błędu w tajemnicy do czasu przygotowania poprawki – ponieważ ujawnianie informacji może dać hakerom szczegółową mapę do wykorzystania.
Wygląda na to, że taki był plan. Ale wczoraj użytkownik popularnej branżowej strony Hacker News opublikował informację o lukach bezpieczeństwa – zanim jakiekolwiek aktualizacje były gotowe.
Po wycieku deweloperzy PHP pospiesznie potwierdzili problem 21 października, publikując awaryjne aktualizacje przed terminem.
Nie jest łatwo zatkać dziurę
Implementacja łatek jest daleka od łatwej. Ponieważ PHP znajduje się pod tysiącami zewnętrznych wtyczek, frameworków i usług hostingowych, strony są bezpieczne tylko wtedy, gdy każdy pojedynczy element łańcucha dostaw integruje i wdraża rozwiązanie PHP.
Dlaczego to się zdarza cały czas?
Duża część internetu opiera się na podstawowych technologiach rozwijanych i utrzymywanych przez hobbystów programistów. Wielu z nich polega na dobrej woli i darowiznach, a nie na solidnym finansowaniu biznesowym.
Wiele z tych narzędzi powstało dekady temu. Nigdy nie zostały zaprojektowane tak, by bezpiecznie wspierać świat, w którym miliony stron internetowych i miliardy urządzeń korzystają z nich do obsługi wrażliwych i prywatnych danych.
Problem pogłębia fakt, że utrzymanie rzadko jest priorytetem dla organizacji. Zbyt często firmy mają jedynie podstawową wiedzę o wszystkich częściach łańcucha dostaw – zarówno fizycznym, jak i cyfrowym.
Nawet w takich głośnych przypadkach wiele firm nie zdaje sobie sprawy, na jakim oprogramowaniu polegają – nie mówiąc już o tym, jak bardzo jest ono bezpieczne.
Co powinieneś zrobić?
Ten problem dotyczy głównie osób zajmujących się utrzymaniem stron internetowych lub infrastrukturą techniczną. Dla nich priorytet jest jasny: natychmiast łatkaj systemy, gdy tylko pojawią się aktualizacje, i rozważ odłączenie krytycznych systemów od internetu, dopóki nie będziesz mieć pewności ich bezpieczeństwa.
Dla zwykłych użytkowników internetu te luki dotyczą serwerów hostujących strony – a nie Twojego urządzenia osobistego. Jednak ponieważ niektóre strony mogą zostać tymczasowo załamane, zanim zostaną załatane, warto ostrożnie wprowadzać wrażliwe dane osobowe do nieznanych stron w ciągu najbliższych kilku dni.
Główni dostawcy chmury i firmy zajmujące się bezpieczeństwem wdrażają filtry awaryjne, ale globalny wyścig o zabezpieczenie sieci dopiero się zaczyna.
To sygnał ostrzegawczy dla całej branży
Zespoły cyberbezpieczeństwa na całym świecie spieszą się, by ograniczyć szkody. Ale skala tego problemu powinna być sygnałem ostrzegawczym.
Rządy i firmy nie mogą ignorować odporności swoich cyfrowych łańcuchów dostaw. Tak jak producenci śledzą dostawców fizycznych komponentów, na których polegają, powinniśmy oczekiwać, że organizacje będą śledzić każdy system i ramy, na których opiera się ich infrastruktura cyfrowa.
Zbieranie tych informacji to pierwszy krok, aby firmy i rządy naprawdę zrozumiały, jak bardzo ich cyfrowa opłacalność zależy od niedofinansowanego, dobrowolnie utrzymywanego kodu.
Dopóki firmy nie będą traktować finansowania podstawowych narzędzi open source jako kluczową inwestycję w bezpieczeństwo, a nie jako charytatywność, te luki będą się nadal pojawiać.
Sok z buraka może obniżać ciśnienie krwi — ale korzyści są różne