Globalny pośpiech i wyłączanie stron internetowych
Kluczowe błędy w języku programowania PHP, wykorzystywanym w architekturze większości portali sieciowych, skłoniły państwowe instytucje i organy ds. bezpieczeństwa do rekomendowania natychmiastowego wstrzymania działania serwisów online do czasu usunięcia usterek. Zespół odpowiedzialny za rozwój kodu dostarczył oficjalne pakiety korygujące w środę około godziny 10:00 czasu wschodniego. Mimo to administratorzy wielu platform zdecydowali się na odłączenie od sieci już wcześniej, aby zapobiec potencjalnemu przejęciu kontroli przez osoby nieuprawnione.
Wśród tymczasowo niedostępnych stron znalazły się m.in. serwis z zakładkami Pinboard, wybrane sekcje Wikipedii oraz fora dyskusyjne 4Chan i Something Awful. Podobne kroki podjęto w Japonii, gdzie dobrowolnie wyłączono systemy przedszkoli i gier wideo, co odnotował serwis ITmedia. Rząd Kanady również czasowo wyłączył część własnych stron rządowych w ramach środków ostrożności, na co wskazał minister ds. sztucznej inteligencji Evan Solomon po konsultacjach z Communications Security Establishment.
Agencje cyberbezpieczeństwa w Holandii i Finlandii również znalazły się w gronie podmiotów, które wyłączyły swoje strony, a holenderska agencja powołała się na konieczność zachowania środków ostrożności. Urzędnicy przekazali, że problem może dotyczyć wszystkich wersji PHP od 5 wzwyż, choć twórcy oprogramowania nie ujawnili jeszcze dokładnej listy podatnych wersji.
Skala zagrożenia i rola sztucznej inteligencji
PHP według danych firmy W3Techs odpowiada za działanie 69% wszystkich witryn internetowych na świecie, napędzając systemy takie jak WordPress, Drupal, Joomla czy Magento. Firma Censys zajmująca się skanowaniem infrastruktury internetowej oszacowała, że w środę z PHP korzystało prawie 55 milionów zasobów sieciowych. Silas Cutler z Censys zauważył, że może minąć kilka dni, zanim zostanie w pełni oszacowana skala naruszeń, które nastąpiły przed załataniem luk.
OpenAI poinformowało, że pomogło w odkryciu tej luki dzięki programowi zapewniającemu podmiotom z branży ochronnej interfejs do zaawansowanych algorytmów przeznaczonych do wykrywania nieprawidłowości w architekturze oprogramowania. Firma podkreśliła w oficjalnym komunikacie, że sytuacja ta uwidacznia dwuznaczną rolę AI, która z jednej strony pozwala wykrywać poważne zagrożenia o globalnej skali, a z drugiej może służyć atakującym do szybkiego tworzenia narzędzi ofensywnych i exploitów.
Eksperci z branży bezpieczeństwa potwierdzili pierwsze incydenty. Platforma Patchstack przekazała, że otrzymała doniesienia o aktywnym wykorzystywaniu luk przez hakerów. Dyrektor ds. technologii w firmie Cloudflare, Dane Knecht, poinformował na platformie X o widocznych pierwszych atakach i wdrażaniu tymczasowych reguł zapory ogniowej WAF dla klientów, podkreślając jednak, że jest to jedynie rozwiązanie tymczasowe przed zainstalowaniem oficjalnej poprawki PHP.
Reagujące agencje i kontrowersje wokół wycieku informacji
Międzynarodowe agencje rządowe oraz ośrodki wywiadowcze wydały surowe ostrzeżenia i zalecenia dotyczące natychmiastowego wyłączania lub izolowania systemów. Amerykańska Agencja Bezpieczeństwa Narodowego (NSA) oraz unijny zespół CERT-EU zaleciły organizacjom rozważenie odizolowania aplikacji mających dostęp do internetu od sieci publicznych. Brytyjskie Narodowe Centrum Bezpieczeństwa Cybernetycznego (NCSC) oraz analogiczne kanadyjskie ośrodki również wezwały do natychmiastowego wstrzymania działania systemów tam, gdzie natychmiastowa naprawa nie jest możliwa.
Jednocześnie amerykańska Agencja ds. Bezpieczeństwa Infrastruktury i Cyberbezpieczeństwa w środowym komunikacie przed południem poinformowała, że zaleca instalowanie łatek, lecz do momentu publikacji raportu nie zaobserwowała jeszcze bezpośredniego wykorzystywania tych luk w skali krajowej. Sytuację skomplikował dodatkowo incydent związany z naruszeniem protokołu przez firmę Chainguard zajmującą się oprogramowaniem open-source.
Według PHP Foundation firma Chainguard udostępniła szczegóły poprawki na sześć godzin przed jej oficjalną publikacją, co stanowiło złamanie umowy o embargu. Organizacja uznała, że taki krok ułatwił hakerom przeprowadzenie inżynierii wstecznej i dalsze ataki na podatne systemy.