Για περισσότερο από μία δεκαετία, σοβαρά ελαττώματα παρέμεναν απαρατήρητα στην τεχνολογία που αποτελεί τη βάση για ένα μεγάλο μέρος του διαδικτύου. Χρειάστηκε η τεχνητή νοημοσύνη (AI) για να έρθουν αυτά στο φως, προκαλώντας παγκόσμιο συναγερμό στον τομέα της κυβερνοασφάλειας.
Ερευνητές, οι οποίοι συνέβαλαν στην αποκάλυψη των ευπαθειών στην PHP —μια δημοφιλή γλώσσα προγραμματισμού που χρησιμοποιείται εδώ και δεκαετίες στην ανάπτυξη ιστοτόπων— προειδοποίησαν ότι οι πλατφόρμες που τη χρησιμοποιούν ενδέχεται να είναι εκτεθειμένες σε πιθανές κυβερνοεπιθέσεις.
Κυβερνήσεις και υπηρεσίες κυβερνοασφάλειας έσπευσαν να περιορίσουν τις επιπτώσεις, προτρέποντας τους διαχειριστές ιστοτόπων να ελέγξουν αν οι ιστότοποί τους έχουν επηρεαστεί. Σε μια τέτοια περίπτωση, τους συνέστησαν να εγκαταστήσουν ενημερώσεις για την αποκατάσταση του προβλήματος ή να εξετάσουν το ενδεχόμενο να θέσουν τους ιστοτόπους τους εκτός λειτουργίας.
Μέχρι στιγμής, δεν έχουν αναφερθεί περιπτώσεις επιτυχούς εκμετάλλευσης του συγκεκριμένου ελαττώματος, το οποίο έλαβε την ονομασία «php2shell», σημειώνει σε δημοσίευμά του το BBC.
Ωστόσο, τις ημέρες που ακολούθησαν την αποκάλυψη των προβλημάτων, οι διαταραχές στη λειτουργία ιστοτόπων και υπηρεσιών συνεχίζουν να επηρεάζουν χρήστες σε όλο τον κόσμο.
Τι είναι η PHP;
Οι περισσότεροι άνθρωποι ίσως δεν έχουν ακούσει για την PHP, αλλά πιθανότατα αλληλεπιδρούν μαζί της καθημερινά.
Το όνομα προέρχεται από το «PHP: Hypertext Preprocessor» και πρόκειται για μια γλώσσα προγραμματισμού ανοιχτού κώδικα, η οποία λειτουργεί στο backend (στο επίπεδο του διακομιστή) και εκτελείται σε έναν διακομιστή ιστού (web server).
Η PHP αναπτύχθηκε στις αρχές της δεκαετίας του 1990 για να διευκολύνει την παροχή δυναμικών ιστοσελίδων και εφαρμογών. Ακόμη και σήμερα, αποτελεί τη βάση για πλήθος πλατφορμών, όπως η Wikipedia, διάφορα ηλεκτρονικά καταστήματα και το WordPress — το σύστημα που υποστηρίζει πολλούς ιστότοπους.
Όταν επισκέπτεστε έναν ιστότοπο, η PHP είναι ο κώδικας που συγκεντρώνει δεδομένα και τα μετατρέπει, ουσιαστικά, σε μια σελίδα που μπορείτε να διαβάσετε, σημειώνει το BBC.
Έχει επίσης χρησιμοποιηθεί για τη δημιουργία διαφόρων εργαλείων που βοηθούν στην ανάπτυξη ή την επιτάχυνση της κατασκευής διαδικτυακών εφαρμογών, με τα Laravel, Symfony και Drupal να συγκαταλέγονται μεταξύ των δημοφιλών πλαισίων (frameworks) της PHP.
Σύμφωνα με την εταιρεία κυβερνοασφάλειας Wiz —η οποία συνέβαλε στην αποκάλυψη κρίσιμων ευπαθειών στην PHP που ήρθαν στο φως αυτή την εβδομάδα—, η PHP τροφοδοτεί το 70% των ιστοτόπων παγκοσμίως.
Η συντήρησή της γίνεται από έναν μη κερδοσκοπικό οργανισμό, το «PHP Foundation», το οποίο απαρτίζεται από άτομα και εταιρείες που βασίζονται στη συγκεκριμένη γλώσσα και στοχεύουν στη διασφάλιση της «μακροπρόθεσμης ευημερίας» της.
Ποια είναι η ευπάθεια;
Μια ομάδα ερευνητών και οργανισμών κυβερνοασφάλειας αποκάλυψε αυτή την εβδομάδα δύο ευπάθειες στην PHP, προειδοποιώντας ότι θα μπορούσαν ενδεχομένως να προκαλέσουν αναστάτωση σε ιστοτόπους σε όλο το διαδίκτυο.
Οι εταιρείες κυβερνοασφάλειας Wiz και Calif ανέφεραν ότι τα ελαττώματα ήταν εγγενή στην ίδια τη γλώσσα προγραμματισμού, επηρεάζοντας εκδόσεις της PHP που κυκλοφόρησαν την τελευταία δεκαετία.
Τα τεχνικά σφάλματα, στα οποία αποδόθηκαν οι αναγνωριστικοί κωδικοί CVE2026109618 και CVE2026109619, αξιολογήθηκαν από τους ερευνητές με βαθμολογία σοβαρότητας 9,2 στα 10.
Ο ερευνητής της Calif, Ράιαν Όστιν, ο οποίος συνέβαλε στην αποκάλυψη του ζητήματος, δήλωσε στο BBC ότι πρόκειται για «τη σοβαρότερη ευπάθεια που έχω εντοπίσει ποτέ».
Σε ανάρτηση στο ιστολόγιό της σχετικά με τα ευρήματα, η Wiz ανέφερε ότι, υπό τις κατάλληλες συνθήκες, οι χάκερ θα μπορούσαν να εκμεταλλευτούν τα σφάλματα για να αποκτήσουν τον έλεγχο των επηρεαζόμενων διακομιστών ιστού (web servers) και να κλέψουν ευαίσθητα δεδομένα, επισημαίνοντας ότι οτιδήποτε έχει δημιουργηθεί με βάση την PHP παραμένει εκτεθειμένο.
Η τεχνητή νοημοσύνη θα μπορούσε επίσης να καταστήσει τέτοιες επιθέσεις ευκολότερες και ταχύτερες, δήλωσε στο BBC ο Πολ Σπέιν, διευθύνων σύμβουλος της Gorilla Cyber Security.
Ο ίδιος εκτίμησε ότι το ελάττωμα θα μπορούσε να επηρεάσει «εκατομμύρια» ιστοτόπους.
Η Τζιλ Σλέι, ερευνήτρια κυβερνοασφάλειας στο Πανεπιστήμιο της Αδελαΐδας, δήλωσε ότι θα ήταν «καταστροφικό» εάν χάκερ ή κράτη χρησιμοποιούσαν το εν λόγω ελάττωμα ως όπλο, αποκτώντας πρόσβαση σε ιδιωτικά δεδομένα από ιστοτόπους.
Ποιοι ιστότοποι έχουν επηρεαστεί;
Η ειδοποίηση της 21ης Οκτωβρίου προκάλεσε διαταραχές στις υπηρεσίες σε παγκόσμιο επίπεδο, από πλατφόρμες παιχνιδιών έως κυβερνητικές πύλες και διαδικτυακά φόρουμ.
Σε αυτούς περιλαμβάνεται το Wikimedia —ο οργανισμός πίσω από τη διαδικτυακή εγκυκλοπαίδεια Wikipedia— το οποίο έθεσε εκτός λειτουργίας ορισμένα από τα συστήματά του ως προληπτικό μέτρο.
Ιστότοποι και σελίδες τέθηκαν επίσης εκτός λειτουργίας από τη φινλανδική κυβέρνηση, το δημοτικό συμβούλιο του Εδιμβούργου και ορισμένες σελίδες του BBC, ενώ και η υπηρεσία κυβερνοασφάλειας της Ολλανδίας απέσυρε τον ιστότοπό της την Τετάρτη.
Ωστόσο, αν και πολλοί ιστότοποι είχαν επανέλθει σε λειτουργία έως την Πέμπτη, άλλοι συνέχιζαν να τίθενται προσωρινά εκτός λειτουργίας, καθώς ιδιώτες και επιχειρήσεις ελέγχουν αν έχουν εκτεθεί σε κίνδυνο.
Η κυβέρνηση του Ηνωμένου Βασιλείου ανακοίνωσε την Πέμπτη ότι ορισμένες «περιορισμένες» υπηρεσίες ενδέχεται να τεθούν προσωρινά εκτός λειτουργίας.
Ανέφερε ότι 32 ιστότοποι έχουν απενεργοποιηθεί για προληπτικούς λόγους, χωρίς ωστόσο να πρόκειται για μεγάλες υπηρεσίες που απευθύνονται στο ευρύ κοινό.
Στη Γαλλία, η εταιρεία τηλεπικοινωνιών Orange ανακοίνωσε επίσης ότι ανέστειλε την πρόσβαση σε ορισμένες υπηρεσίες σε παγκόσμιο επίπεδο, προκειμένου να εφαρμόσει διορθώσεις ασφαλείας.
Την Παρασκευή, τοπικά μέσα ενημέρωσης στην Ιαπωνία μετέδωσαν ότι ο τηλεπικοινωνιακός πάροχος SoftBank Corp ανέστειλε προσωρινά τις ειδοποιήσεις έκτακτης ανάγκης για σεισμούς, τσουνάμι και άλλες καταστροφές.
Σύμφωνα με την εφημερίδα Mainichi, οι πελάτες της SoftBank έχουν κληθεί να διασφαλίσουν ότι διαθέτουν εναλλακτικούς τρόπους λήψης ειδοποιήσεων για φυσικές καταστροφές, καθώς οι ειδοποιήσεις μέσω κινητού τηλεφώνου δεν πρόκειται να ηχήσουν, ακόμη και στην περίπτωση ενός ισχυρού σεισμού.
Η υπηρεσία αναμένεται, σύμφωνα με πληροφορίες του BBC, να επανέλθει σε λειτουργία τη Δευτέρα.
Ορισμένοι ειδικοί προειδοποιούν ότι το ζήτημα αυτό ενδέχεται να εκθέσει σε μεγαλύτερο κίνδυνο ιστότοπους που δεν συντηρούνται επαρκώς —ιδίως εκείνους που ανήκουν σε μικρότερους οργανισμούς με περιορισμένους πόρους για την ασφάλεια.
Είναι πιθανό να υπάρξουν περισσότερες απόπειρες εκμετάλλευσης αυτών των κενών ασφαλείας τις επόμενες εβδομάδες, καθώς οι τεχνικές λεπτομέρειες γίνονται πλέον γνωστές στο κοινό, δήλωσε ο ερευνητής κυβερνοασφάλειας Salil Kanhere από το UNSW του Σίδνεϊ.
Τι συνέβη αφού αποκαλύφθηκαν τα ελαττώματα;
Το PHP Foundation διέθεσε την Τετάρτη διορθώσεις για την αντιμετώπιση των ευπαθειών που παρέμεναν κρυμμένες στο λογισμικό του επί σειρά ετών.
«Όλοι οι χρήστες της PHP ενθαρρύνονται έντονα να προχωρήσουν άμεσα σε ενημέρωση», ανέφερε η εταιρεία.
Αρχές και οργανισμοί ασφαλείας ανά τον κόσμο έχουν επαναλάβει αυτές τις προειδοποιήσεις προς τους διαχειριστές ιστοτόπων, καλώντας τους να θωρακίσουν τις πλατφόρμες τους.
Η Υπηρεσία Εθνικής Ασφαλείας (NSA) των ΗΠΑ συνέστησε σε όλους τους οργανισμούς που χρησιμοποιούν την PHP να θέσουν τα συστήματά τους εκτός λειτουργίας, εάν δεν είναι σε θέση να εφαρμόσουν άμεσα τις απαραίτητες διορθώσεις (patches). Πρόσθεσε δε ότι η ευπάθεια θα μπορούσε να προσφέρει μια «άμεση οδό» για την παραβίαση της βάσης δεδομένων ενός συστήματος.
«Οι κίνδυνοι αυτοί είναι τόσο σοβαροί, που καθιστούν επιβεβλημένη την άμεση εφαρμογή διορθώσεων σε όλες τις υπηρεσίες και τους φορείς της κυβέρνησης των Ηνωμένων Πολιτειών», δήλωσε η υπηρεσία.
Αντίστοιχες προειδοποιήσεις έχουν εκδώσει και οι ομόλογες αρχές στην ΕΕ, τη Σιγκαπούρη και την Αυστραλία.
Η Ιαπωνίδα πολιτικός Σανάε Τακαΐτσι προέτρεψε τους χρήστες —μέσω αναρτήσεών της στην πλατφόρμα X— να ελέγξουν εάν οι δημόσια προσβάσιμοι ιστότοποί τους βασίζονται στην PHP.
Οι εταιρείες τεχνολογίας επιδίωξαν επίσης να θωρακίσουν άμεσα τα συστήματά τους.
Ο κολοσσός του ηλεκτρονικού εμπορίου Amazon ανέφερε ότι δέχθηκε πολλαπλές απόπειρες επίθεσης λίγες ημέρες πριν από τη δημοσιοποίηση του ζητήματος που αφορά την PHP, ωστόσο οι ιστότοποί της συνέχισαν να λειτουργούν κανονικά.
Ο Μάθιου Πρινς, επικεφαλής της εταιρείας διαδικτυακών υποδομών Cloudflare, δήλωσε επίσης ότι, στο διάστημα των 10 ωρών πριν από τη δημόσια ανακοίνωση, καταγράφηκαν «χιλιάδες» απόπειρες εκμετάλλευσης των ευπαθειών της PHP σε όλο το δίκτυό της.
«Ο αριθμός αυτός εκτινάχθηκε σε δεκάδες χιλιάδες μέσα στα 45 λεπτά μετά την ανακοίνωση, σε εκατοντάδες χιλιάδες εντός δύο ωρών, ενώ πλέον ανέρχεται σε εκατομμύρια», έγραψε στην πλατφόρμα X.
Μέχρι το πρωί της Παρασκευής, δεν είχαν αναφερθεί επιτυχείς επιθέσεις.
Ωστόσο, οι ειδικοί προειδοποιούν ότι ενδέχεται να χρειαστεί χρόνος μέχρι να γίνουν πλήρως αντιληπτές οι επιπτώσεις.
Παράλληλα, οι διαχειριστές διαφόρων υπηρεσιών —όχι μόνο στον τομέα της ανάπτυξης ιστοτόπων— όπου ενδέχεται να έχει χρησιμοποιηθεί η PHP, καλούνται να ελέγξουν τα συστήματά τους και να προχωρήσουν σε ενημερώσεις, όπου κρίνεται απαραίτητο.
«Είναι σημαντικό να θυμόμαστε ότι η PHP δεν περιορίζεται μόνο σε διαδικτυακές εφαρμογές», δήλωσε στο BBC ο Ντάνιελ Στιούαρτ, επικεφαλής του τμήματος πληροφοριών για απειλές (threat intelligence) στην εταιρεία διαχείρισης κινδύνων LRQA.
«Συναντάται συχνά σε περιβάλλοντα διαχείρισης δικτυακού εξοπλισμού, συστημάτων εξισορρόπησης φορτίου (load balancers) και ενσωματωμένων συσκευών (embedded devices) — στοιχεία που συχνά παραβλέπονται κατά τη διάρκεια τέτοιων περιστατικών».
Σύμφωνα με ορισμένους ερευνητές κυβερνοασφάλειας που χρησιμοποιούν σαρώσεις για να ελέγξουν διακομιστές που κινδυνεύουν από την ευπάθεια PHP, ο ρυθμός των οργανισμών που εφαρμόζουν ενημερώσεις κώδικα έχει αυξηθεί – αλλά όχι τόσο γρήγορα όσο θα μπορούσε να ελπίζεται παγκοσμίως.
Πώς συμμετείχε η Τεχνητή Νοημοσύνη;
Ερευνητές στις Calif και Wiz που εντόπισαν τα τρωτά σημεία χρησιμοποίησαν προηγμένα εργαλεία Τεχνητής Νοημοσύνης, που αναπτύχθηκαν από την OpenAI, εταιρεία ανάπτυξης του ChatGPT, τα οποία μπορούν να αναλύσουν κώδικα και να εντοπίσουν ελαττώματα πολύ πιο γρήγορα από τους ανθρώπους ή τα παλαιότερα συστήματα.
«Το σύγχρονο λογισμικό είναι απίστευτα πολύπλοκο και ορισμένα τρωτά σημεία μπορεί να παραμείνουν απαρατήρητα για χρόνια», δήλωσε ο Κανχίαρ.
«Τα υποκείμενα σφάλματα δεν ήταν καινούργια. Αυτό που άλλαξε ήταν η ικανότητά μας να τα εντοπίζουμε», δήλωσε ο Κανχίαρ.
Λεπτομέρειες της ανακάλυψης διέρρευσαν στο διαδίκτυο αυτή την εβδομάδα, αναγκάζοντας τους προγραμματιστές της πλατφόρμας PHP να βιαστούν να ανακοινώσουν το ελάττωμα ασφαλείας και την τεράστια έκτασή του.
Το περιστατικό «υπογραμμίζει πώς η Τεχνητή Νοημοσύνη μπορεί να αποκαλύψει κενά ασφαλείας» αλλά και πώς μπορεί «να βοηθήσει τους εισβολείς να αναπτύξουν γρήγορα επιθετικά εργαλεία και εκμεταλλεύσεις», ανέφερε το OpenAI σε μια ανάρτηση ιστολογίου.
Είπε ότι είχε επίσης κυκλοφορήσει ένα πρόγραμμα που θα μπορούσε να ελέγξει εάν η πλατφόρμα PHP ήταν ασφαλής.
«Πολλά από αυτά τα ελαττώματα πηγάζουν από τον τρόπο με τον οποίο κατασκευάζονταν παλαιότερα τα λογισμικά, τα οποία δημιουργούνταν με γνώμονα τη λειτουργικότητα και όχι την ασφάλεια», δήλωσε ο Ράιαν Κο, από το Κέντρο Έρευνας στον Κυβερνοχώρο (Cyber Research Centre) του Πανεπιστημίου του Κουίνσλαντ.
Τι σημαίνει αυτό για εσάς;
Το ζήτημα αφορά τις διαδικασίες στο παρασκήνιο (backend) της ανάπτυξης ιστοτόπων και εφαρμογών ιστού, οι οποίες παραμένουν αόρατες για τους περισσότερους χρήστες – πράγμα που σημαίνει ότι οι περισσότεροι άνθρωποι δεν χρειάζεται να προβούν σε καμία ενέργεια.
Ωστόσο, οι μικρές επιχειρήσεις που διαθέτουν ιστοτόπους –συμπεριλαμβανομένων εκείνων που έχουν κατασκευαστεί με τη χρήση του WordPress– ίσως αναρωτιούνται πώς μπορούν να προστατευτούν.
Οι ιδιοκτήτες ιστοτόπων ή οι διαχειριστές υποδομών που λειτουργούν με PHP καλούνται να θωρακίσουν τους ιστοτόπους τους, προχωρώντας σε ενημέρωση στην πιο πρόσφατη έκδοση.
Ο Κεν Μανρό, ειδικός στην ασφάλεια συστημάτων (γνωστός «ηθικός χάκερ»), ο οποίος έχει αφιερώσει χρόνια στον εντοπισμό κενών ασφαλείας σε υπολογιστικά συστήματα, εξηγεί ότι η εγκατάσταση των διορθώσεων –διαδικασία γνωστή ως «patching»– είναι «κάπως σαν να κάνετε μια ενημέρωση στα Windows».
Εάν τη διαχείριση του ιστοτόπου σας έχει αναλάβει κάποια εταιρεία φιλοξενίας (hosting) ή κάποιος προγραμματιστής ιστοσελίδων, επικοινωνήστε μαζί τους και ρωτήστε αν έχουν εφαρμοστεί οι διορθώσεις ασφαλείας για την PHP. Πρόκειται για ενέργεια που αφορά την ίδια την PHP και δεν μπορεί να επιλυθεί απλώς μέσω της ενημέρωσης του WordPress ή των πρόσθετων (plugins) που χρησιμοποιεί.
Αν, από την άλλη πλευρά, διαχειρίζεστε εσείς οι ίδιοι τον ιστότοπό σας, ο Μανρό επισημαίνει ότι «είναι δική σας ευθύνη να διασφαλίσετε ότι έχουν εφαρμοστεί οι απαραίτητες διορθώσεις».
Το Εθνικό Κέντρο Κυβερνοασφάλειας του Ηνωμένου Βασιλείου συνιστά να εξεταστεί το ενδεχόμενο προσωρινής διακοπής λειτουργίας των ιστότοπων εάν οι ενημερώσεις ή οι προσωρινές προστασίες δεν μπορούν να εφαρμοστούν αρκετά γρήγορα.
Η Εθνική Υπηρεσία Ασφαλείας των ΗΠΑ έχει επίσης ζητήσει «αυξημένη ευαισθητοποίηση» τις επόμενες εβδομάδες, λέγοντας στους ανθρώπους να παρακολουθούν στενά τις ενημερώσεις από τους προμηθευτές λογισμικού.
«Η επαγρύπνηση κατά την εφαρμογή ενημερώσεων κώδικα που σχετίζονται με αυτά τα συστήματα είναι ύψιστης σημασίας», ανέφερε.
Και ενώ η ευθύνη βαρύνει κυρίως τους διαχειριστές ιστότοπων, οι χρήστες θα πρέπει να παραμένουν σε εγρήγορση για τυχόν συμβουλές ασφαλείας που εκδίδονται από τις επηρεαζόμενες υπηρεσίες, όπως αιτήματα για αλλαγή κωδικών πρόσβασης, δήλωσε ο Kanhere.
Προειδοποίησε τους ανθρώπους να είναι σε εγρήγορση για τυχόν μηνύματα ηλεκτρονικού «ψαρέματος» (phishing) που εκμεταλλεύονται τη δημοσιότητα γύρω από το περιστατικό.
