Παγκόσμια κινητοποίηση για κρίσιμο κενό ασφαλείας στην PHP

Ειδικοί στην κυβερνοασφάλεια σε όλο τον κόσμο σπεύδουν να ενημερώσουν συστήματα και να αποτρέψουν το πιο σοβαρό hack με χρήση AI που έχει εντοπιστεί μέχρι σήμερα. Ένα κενό που βρέθηκε σε κώδικα ευρείας χρήσης έχει αφήσει ευάλωτο το 70% των ιστοσελίδων παγκοσμίως σε κλοπή δεδομένων και αλλοίωση περιεχομένου.

Κυβερνητικές ιστοσελίδες στη Γαλλία, τη Δανία, τη Φινλανδία και την Ολλανδία τέθηκαν εκτός λειτουργίας προληπτικά μόλις έγινε γνωστή η είδηση.

Θα είναι η φυσική η επόμενη επιστημονική περιοχή που θα ανατραπεί από την AI;

Η PHP είναι μια γλώσσα προγραμματισμού που χρησιμοποιείται συχνά για τη λειτουργία διαδραστικών ιστοσελίδων, όπως το σύστημα διαχείρισης περιεχομένου WordPress, που χρησιμοποιούν ειδησεογραφικά sites και blogs, τα κοινωνικά δίκτυα όπως το Facebook και βασικά εργαλεία αναφοράς όπως η Wikipedia. Το συγκεκριμένο hack αφορά λοιπόν ιστοσελίδες και όχι τους προσωπικούς υπολογιστές των χρηστών.

Το πρόβλημα αφορά στην πραγματικότητα δύο κενά ασφαλείας, τα οποία εντόπισε η εταιρεία cloud security Wiz. Συνδέονται με τον τρόπο που η PHP χειρίζεται σφάλματα στη μνήμη: σε ορισμένες περιπτώσεις, δεδομένα μπορεί να μείνουν πίσω μετά από ένα σφάλμα και να είναι προσβάσιμα από κακόβουλο χρήστη. Τα δεδομένα αυτά μπορεί να περιλαμβάνουν ιδιωτικές πληροφορίες, αλλά μπορούν επίσης να επιτρέψουν σε έναν επιτιθέμενο να εκτελέσει κακόβουλο κώδικα.

Κάθε έκδοση της PHP που κυκλοφόρησε την τελευταία δεκαετία επηρεάζεται από τουλάχιστον μία από αυτές τις ευπάθειες, όμως το PHP Foundation, που επιβλέπει την ανάπτυξή της, έχει ήδη εκδώσει ενημέρωση για την αντιμετώπισή τους.

Το ίδρυμα δεν απάντησε σε αίτημα για συνέντευξη, ανέφερε όμως σε ανάρτηση στο blog του ότι ενδείξεις της ευπάθειας είχαν εμφανιστεί από το 2024. Παρ’ όλα αυτά, δεν έγινε τίποτα. Αυτό συνέβη επειδή τότε δεν υπήρχε άμεσα προφανής πρακτικός τρόπος για να την εκμεταλλευτούν οι χάκερ και επειδή υπήρχε διαφωνία για το ποια από τις διαθέσιμες λύσεις ήταν καταλληλότερη.

«Δεν θα προσποιηθούμε το αντίθετο: η καθυστέρηση ήταν δομική αποτυχία, που προκλήθηκε τόσο από τη διαδικασία λήψης αποφάσεων της ομάδας ασφαλείας όσο και από την έλλειψη πόρων», ανέφερε το PHP Foundation.

Το 2024, το κενό θεωρούνταν πρακτικά δύσκολο να αξιοποιηθεί, όμως ο Alan Woodward από το University of Surrey στη Βρετανία λέει ότι η AI έχει μετακινήσει τα όρια του εφικτού από τότε.

«Στην πραγματικότητα είναι πάρα πολύ δύσκολο να το εκμεταλλευτεί κανείς. Απαιτεί χρονισμό σε επίπεδο χιλιοστών του δευτερολέπτου», λέει ο Woodward. «Ο λόγος που θεωρήθηκε υπερβολικά περίπλοκο ήταν ότι θα χρειαζόταν μια ομάδα ανθρώπων πάρα πολύς καιρός για να βρει τα σωστά timings. Αλλά αυτό που κάνει η AI είναι ότι δεν βγαίνει για διάλειμμα για τσάι, δεν φεύγει σπίτι στις 6 το απόγευμα: μπορείς απλώς να βάλεις πολλά συστήματα να τρέχουν και τελικά θα δώσουν τη σωστή απάντηση για το πώς να το εκμεταλλευτείς».

Η Wiz ανέφερε σε ανάρτηση στο blog της, όπου ανακοίνωσε την ανακάλυψη, ότι πιθανότατα υπάρχουν και άλλα αντίστοιχα σφάλματα στη βάση κώδικα της PHP, τα οποία οι προγραμματιστές θα χρειαστεί επίσης να εντοπίσουν και να διορθώσουν. Η Wiz δεν απάντησε σε αίτημα για σχόλιο.

Κάθε φορά που μια νέα τεχνολογία φτάνει στο διαδίκτυο, ξεκινά μια μάχη ανάμεσα στα δικαιώματα των χρηστών και τις μεγάλες εταιρείες. Για να δει κανείς πώς θα εξελιχθεί αυτό με την AI, ο αρθρογράφος Jacob Aron ανατρέχει σε παραδείγματα από το παρελθόν.

Ο ανεξάρτητος ειδικός κυβερνοασφάλειας Junade Ali είπε στο Science Media Centre ότι τα δύο τρίτα των ιστοσελίδων χρησιμοποιούν PHP και ενδέχεται να είναι ευάλωτα σε αυτή την τελευταία τεχνική.

«Ο βασικός μακροπρόθεσμος κίνδυνος από αυτές τις νέες ευπάθειες είναι ότι οι οργανισμοί αποτυγχάνουν να εφαρμόσουν προστασίες και να ενημερώσουν το λογισμικό, ιδιαίτερα σε παλαιά συστήματα», δήλωσε ο Ali. «Η στάση ασφαλείας των ιστοσελίδων που χρησιμοποιούν PHP έχει βελτιωθεί σημαντικά την τελευταία δεκαετία, αλλά αυτό δείχνει ότι πρόκειται για ένα πρόβλημα που είναι πάντα παρόν – ιδιαίτερα όταν οι πράκτορες AI μπορούν να επιδιώκουν ασταμάτητα τον στόχο της ανακάλυψης νέων ευπαθειών».

Ο Woodward θεωρεί ότι, ενώ οι περισσότερες μεγάλες ιστοσελίδες έχουν ήδη διορθώσει τα συστήματά τους, μικρότερες σελίδες με λιγότερη τεχνογνωσία και πόρους μπορεί να παραμένουν ευάλωτες για μήνες ή και χρόνια. «Θα υπάρχει αυτή η μακρά ουρά και θα βρεις μερικά απρόσμενα sites που δεν έχουν διορθωθεί», λέει.

Η AI έχει γίνει εξαιρετικά ικανή στον τομέα της κυβερνοασφάλειας τους τελευταίους μήνες, καθώς περιλαμβάνει τόσο την εύρεση τρόπων για το πώς να χακάρει υπολογιστές όσο και την άμυνα απέναντι σε χάκερ, δημιουργώντας μια αποσταθεροποιητική κατάσταση που δεν έχει ακόμη ισορροπήσει.

Υπάρχει αυξανόμενη αντίδραση για τον τρόπο με τον οποίο οι εταιρείες AI αντιμετώπισαν μαθηματικά προβλήματα – και πλέον ορισμένοι μαθηματικοί επιλέγουν να αποφεύγουν εντελώς την AI.

Τον Απρίλιο έγινε γνωστό ένα μη κυκλοφορημένο μοντέλο AI της Anthropic, με την ονομασία Mythos, το οποίο η εταιρεία είχε κρατήσει κρυφό επειδή διαπιστώθηκε ότι ήταν εξαιρετικά καλό στο hacking. Η είδηση προκάλεσε πανικό στους ειδικούς της κυβερνοασφάλειας. Το NHS England απέσυρε, για παράδειγμα, τα open-source projects του, από φόβο ότι το Mythos θα μπορούσε να σαρώσει τον κώδικα για αδυναμίες και να εκμεταλλευτεί τα συστήματά του.

Τρεις μήνες αργότερα, η OpenAI παραδέχθηκε ότι ένα από τα πρωτότυπα μοντέλα της είχε ξεφύγει από το περιβάλλον δοκιμών και είχε χακάρει άλλη εταιρεία, τη Hugging Face. Για να μη μείνει πίσω, η Anthropic ανακοίνωσε μέσα σε λίγες ημέρες ότι το μοντέλο Claude είχε επίσης εκτροχιαστεί και είχε εισβάλει σε μηχανήματα άλλων εταιρειών σε τρεις περιπτώσεις.

Μάθαμε ακόμη από το National Cyber Security Centre, την κυβερνητική υπηρεσία του Ηνωμένου Βασιλείου που είναι αρμόδια για την ασφάλεια της ψηφιακής υποδομής της χώρας, ότι οι τέσσερις βασικοί κυβερνοαντίπαλοι της χώρας – η Ρωσία, η Κίνα, η Βόρεια Κορέα και το Ιράν – χρησιμοποιούν την AI για να ενισχύσουν την ικανότητά τους να εξαπολύουν «αδυσώπητες» επιθέσεις κατά του Ηνωμένου Βασιλείου.