Krytyczne luki w języku PHP. Rządy na świecie wyłączają strony

Powszechnie stosowany język programowania PHP, odpowiedzialny za obsługę stron internetowych, został dotknięty dwoma poważnymi problemami bezpieczeństwa. Twórcy PHP zidentyfikowali dwie krytyczne luki w zabezpieczeniach we wtorek. Odkryte słabości mogą umożliwić hakerom bezpośredni dostęp do systemu plików lub bazy danych serwera, a nawet przejęcie kontroli nad witrynami i kradzież danych. Nowa wersja oprogramowania usuwająca luki została opublikowana w środę po południu.

Skala problemu wykracza poza pojedyncze serwisy, albowiem technologia ta odpowiada za funkcjonowanie znacznej części globalnej sieci. Z dostępnych statystyk wynika, że PHP obsługuje około 75 proc. stron internetowych o zidentyfikowanym języku programowania oraz stanowi silnik WordPressa, na którym opiera się blisko 43 proc. wszystkich serwisów sieciowych – od prywatnych blogów po portale rządowe i sklepy online. Problem może dotyczyć wszystkich edycji oprogramowania, począwszy od wersji 5, choć twórcy nie sprecyzowali jeszcze dokładnych wersji narażonych na ataki.

Reagują rządy i agencje cyberbezpieczeństwa

W związku z doniesieniami o aktywnym wykorzystywaniu luk przez hakerów, agencje ds. cyberbezpieczeństwa w Europie, Stanach Zjednoczonych, Australii i Japonii wezwały użytkowników do natychmiastowej aktualizacji lub tymczasowego wyłączenia stron. Instytucje rządowe i publiczne m.in. w Niemczech, Holandii, Belgii, Finlandii i Francji wyłączyły swoje strony w ramach środków ostrożności. W Holandii sieć opuściło m.in. Krajowe Centrum Cyberbezpieczeństwa oraz strona niższej izby parlamentu Tweede Kamer.

Amerykańska Agencja Bezpieczeństwa Narodowego wydała poradę, zalecając organizacjom wyłączenie systemów, jeśli nie uda się ich zaktualizować. Biały Dom wydał komunikat o prowadzeniu działań oceniających wpływ awarii na systemy rządowe i infrastrukturę krytyczną, informując, że pierwsze doniesienia dotarły już 16 października i prowadzona jest współpraca z laboratoriami sztucznej inteligencji. Premier Japonii Sanae Takaichi zaapelowała w mediach społecznościowych o sprawdzenie publicznych witryn internetowych pod kątem wykorzystania PHP.

Uderzenie w Wikipedię i inne popularne platformy

Awaria zabezpieczeń dotknęła również popularne serwisy internetowe, w tym część Wikipedii, której operator, Fundacja Wikimedia, wyłączył szereg systemów w celach ostrożnościowych. Niedostępna stała się także strona rady miejskiej Edynburga oraz platformy internetowe programów BBC, takich jak Doctor Who i The Traitors. Badacze z firm Calif i Wiz wskazują, że luki zostały wykryte przy użyciu sztucznej inteligencji firmy OpenAI.

Zajmująca się cyberbezpieczeństwem firma FIZ określiła te błędy mianem najpoważniejszych nieprawidłowości, jakie kiedykolwiek wykryto. CERT Polska w swoim komunikacie zalecił wcześniejszą inwentaryzację usług oraz tymczasowe wyłączenie zasobów wykorzystujących PHP przed wdrożeniem poprawek.