Czym jest PHP i dlaczego budzi obawy ekspertów ds. cyberbezpieczeństwa

Przez ponad dekadę poważne luki pozostawały ukryte w technologii wykorzystywanej przez miliony stron internetowych.

Odkryła je sztuczna inteligencja, wywołując globalny alarm w świecie cyberbezpieczeństwa.

Luki wykryto w języku programowania PHP, który od początku XXI wieku jest powszechnie wykorzystywany do tworzenia stron internetowych.

Po ujawnieniu problemu w środę rządy i agencje ds. cyberbezpieczeństwa na całym świecie rozpoczęły działania mające ograniczyć jego skutki. Administratorów stron wezwano do pilnego zainstalowania aktualizacji zabezpieczeń lub czasowego wyłączenia swoich serwisów.

Firma Wiz, której badacze pomogli wykryć luki, określiła je jako „najpoważniejsze", jakie kiedykolwiek znaleziono przy użyciu sztucznej inteligencji.

Z kolei OpenAI nazwało odkrycie „jednym z najpoważniejszych zagrożeń dla bezpieczeństwa ostatnich lat".

Na czym polega wykryta luka?

Większość osób nigdy nie słyszała o PHP, choć korzysta z niego każdego dnia.

PHP jest wykorzystywane przez miliony witryn internetowych, w tym sklepy internetowe i Wikipedię.

Jak tłumaczy Paul Spain z firmy Gorilla Cyber Security, PHP odpowiada za pobieranie i wyświetlanie informacji, które widzimy na stronach internetowych.

Problem polega na tym, że wykryta luka może pozwolić cyberprzestępcom przejąć kontrolę nad podatnymi serwerami i wykraść wrażliwe dane. Oznacza to, że zagrożone mogą być miliony stron i usług działających w oparciu o PHP.

Zdaniem Spaina sztuczna inteligencja może sprawić, że przeprowadzanie takich ataków będzie łatwiejsze i szybsze.

Jill Slay, ekspertka ds. cyberbezpieczeństwa z Uniwersytetu w Adelajdzie, ostrzega, że skutki wykorzystania tej luki mogłyby być „katastrofalne", zwłaszcza gdyby posłużyła ona do przejmowania poufnych danych.

Jakie strony zostały dotknięte problemem?

Skutki wykrycia luki odczuwane są na całym świecie. Problemy dotknęły różne usługi internetowe - od platform gamingowych po strony rządowe i fora dyskusyjne.

Wśród nich znalazła się Wikimedia, organizacja stojąca za internetową encyklopedią Wikipedia, która prewencyjnie wyłączyła część swoich systemów.

Ze względów bezpieczeństwa swoje strony internetowe lub wybrane usługi wyłączyły także rząd Finlandii, władze Edynburga, BBC oraz holenderska agencja ds. cyberbezpieczeństwa.

Swoje strony internetowe wyłączyło również wiele szkockich instytucji publicznych, w tym samorządy i placówki ochrony zdrowia.

Eksperci ostrzegają, że szczególnie narażone mogą być słabiej zabezpieczone strony internetowe, zwłaszcza należące do mniejszych organizacji dysponujących ograniczonymi zasobami.

Salil Kanhere, badacz cyberbezpieczeństwa z Uniwersytetu Nowej Południowej Walii w Sydney, uważa, że w najbliższych tygodniach należy spodziewać się kolejnych prób wykorzystania tej luki, ponieważ jej szczegóły techniczne zostały już upublicznione.

Co wydarzyło się po ujawnieniu luk?

W środę twórcy PHP opublikowali poprawki usuwające luki, które przez lata pozostawały niewykryte.

„Wszyscy użytkownicy PHP powinni jak najszybciej zainstalować aktualizację," zaapelowali.

Podobne ostrzeżenia wydały rządy i organizacje ds. cyberbezpieczeństwa na całym świecie, wzywając administratorów stron internetowych do zabezpieczenia swoich systemów.

Amerykańska Agencja Bezpieczeństwa Narodowego zaleciła organizacjom korzystającym z PHP natychmiastową instalację poprawek. Jeśli nie jest to możliwe, powinny tymczasowo odłączyć swoje systemy od sieci. Agencja ostrzegła, że luka może dawać cyberprzestępcom „bezpośredni dostęp'' do baz danych.

„Ryzyko jest na tyle poważne, że wymaga natychmiastowego wdrożenia poprawek we wszystkich departamentach i agencjach rządu USA," podkreśliła agencja.

Podobne zalecenia wydało brytyjskie Narodowe Centrum Cyberbezpieczeństwa, które wezwało organizacje do sprawdzenia, czy ich systemy nie zostały już naruszone.

Ostrzeżenia opublikowały również instytucje odpowiedzialne za cyberbezpieczeństwo w Unii Europejskiej, Singapurze i Australii.

Premier Japonii Sanae Takaichi zaapelowała do właścicieli stron internetowych o sprawdzenie, czy ich witryny korzystają z PHP.

„Mamy pilną prośbę: jeszcze dziś podejmijcie działania," napisała Takaichi na platformie X.

„Jeśli szybkie zainstalowanie poprawki nie jest możliwe, ograniczenie ryzyka może wymagać tymczasowego wyłączenia stron internetowych," dodała.

Do zabezpieczania swoich systemów przystąpiły również firmy technologiczne.

Amazon poinformował, że już kilka dni przed publicznym ujawnieniem problemu z PHP był celem wielu prób ataków. Nie wiadomo jednak, skąd potencjalni napastnicy wiedzieli o istnieniu tej luki.

Jak sztuczna inteligencja wykrywa luki w zabezpieczeniach?

Luki wykryli badacze z firm cyberbezpieczeństwa Calif i Wiz.

Do ich odnalezienia wykorzystano zaawansowane narzędzia oparte na sztucznej inteligencji, które analizują kod znacznie szybciej niż ludzie.

„Współczesne oprogramowanie jest bardzo złożone, dlatego niektóre luki mogą pozostawać niewykryte przez lata," powiedział ekspert ds. cyberbezpieczeństwa Salil Kanhere.

„Same błędy nie były nowe. Zmieniła się jedynie nasza zdolność do ich wykrywania," dodał.

Gdy szczegóły odkrycia wyciekły do internetu, twórcy PHP przyspieszyli publikację informacji o luce i związanym z nią zagrożeniu.

OpenAI zwróciło uwagę, że ten przypadek pokazuje zarówno możliwości sztucznej inteligencji w wykrywaniu luk, jak i ryzyko wykorzystania jej przez cyberprzestępców do opracowywania nowych metod ataków.

Firma poinformowała również o udostępnieniu narzędzia pozwalającego sprawdzić, czy systemy oparte na PHP są odpowiednio zabezpieczone.

Ryan Ko z Uniwersytetu Queensland uważa, że wiele podobnych luk ma swoje źródło w dawnym sposobie tworzenia oprogramowania.

„Wiele z tych luk wynika ze sposobu tworzenia oprogramowania w przeszłości, gdy skupiano się przede wszystkim na funkcjonalności, a nie na bezpieczeństwie," powiedział.

Jak użytkownicy mogą się chronić?

Właściciele stron internetowych są wzywani do jak najszybszego zainstalowania najnowszej wersji PHP i dostępnych poprawek bezpieczeństwa.

Zdaniem Paula Spaina jest to dla większości zespołów technicznych rutynowa aktualizacja.

Amerykańska Agencja Bezpieczeństwa Narodowego zaapelowała o zachowanie szczególnej ostrożności w najbliższych tygodniach i śledzenie komunikatów dostawców oprogramowania.

„Kluczowe znaczenie ma szybkie instalowanie poprawek," podkreśliła agencja.

Eksperci zaznaczają, że główna odpowiedzialność spoczywa na administratorach stron internetowych. Użytkownicy również powinni zachować czujność i zwracać uwagę na komunikaty bezpieczeństwa, takie jak prośby o zmianę hasła.

Salil Kanhere ostrzegł także przed wiadomościami phishingowymi wykorzystującymi zainteresowanie wokół tego incydentu.

Przy tłumaczeniu tego artykułu, który oryginalnie był napisany w języku angielskim, użyto narzędzi AI. Dziennikarz BBC sprawdził tłumaczenie przed publikacją. Więcej o tym, jak używamy AI.

Edycja: Julita Waleskiewicz