Οι ειδικοί προειδοποιούν για κίνδυνο κυβερνοεπιθέσεων μετά τον εντοπισμό ευπαθειών στην PHP, μια γλώσσα προγραμματισμού που χρησιμοποιείται σε μεγάλο μέρος του web
Προβλήματα που θα μπορούσαν να επιτρέψουν σε χάκερ να αποκτήσουν πρόσβαση σε δεδομένα και να προκαλέσουν ζημιές σε ιστοσελίδες έχουν σημάνει συναγερμό στον κόσμο του διαδικτύου. Στο επίκεντρο βρίσκεται η PHP, μια τεχνολογία που χρησιμοποιείται για τη λειτουργία εκατομμυρίων ιστοσελίδων, ακόμη κι αν οι επισκέπτες τους δεν γνωρίζουν καν ότι υπάρχει.
Η σοβαρότητα της κατάστασης οδήγησε οργανισμούς σε διάφορες χώρες να κλείσουν προσωρινά τις ιστοσελίδες τους, μέχρι να μπορέσουν να τις προστατεύσουν. Ανάμεσά τους βρίσκονται η φινλανδική κυβέρνηση, το BBC και το δημοτικό συμβούλιο του Εδιμβούργου, ενώ προβλήματα πρόσβασης καταγράφηκαν και σε τμήματα της Wikipedia.
Το ανησυχητικό είναι ότι τα κενά ασφαλείας παρέμεναν κρυφά για περισσότερο από μία δεκαετία, σύμφωνα με τις εταιρείες που συμμετείχαν στην έρευνα. Ο εντοπισμός τους έγινε με τη βοήθεια προηγμένης τεχνητής νοημοσύνης, η οποία βοήθησε τους ειδικούς να ανακαλύψουν αδυναμίες που θα μπορούσαν να εκμεταλλευτούν οι χάκερ.
Οι αρμόδιες υπηρεσίες καλούν τους οργανισμούς να εγκαταστήσουν άμεσα τις απαραίτητες ενημερώσεις ασφαλείας. Όσοι δεν μπορούν να προστατεύσουν εγκαίρως τα συστήματά τους καλούνται να εξετάσουν ακόμη και το προσωρινό κλείσιμο των ιστοσελίδων τους, ώστε να περιορίσουν τον κίνδυνο μιας επίθεσης.
Ποιες ιστοσελίδες έκλεισαν και τι συνέβη
Η κινητοποίηση ξεκίνησε μετά τον εντοπισμό των ευπαθειών στην PHP και την έκδοση ενημέρωσης ασφαλείας το απόγευμα της Τετάρτης (21/10). Ωστόσο, η εγκατάσταση των διορθώσεων δεν ήταν εφικτή για όλους τους οργανισμούς στον ίδιο χρόνο, με αποτέλεσμα υπηρεσίες κυβερνοασφάλειας να προτείνουν ακόμη και την προσωρινή διακοπή λειτουργίας ιστοσελίδων που δεν μπορούσαν να προστατευτούν άμεσα.
Η Φινλανδία ανέστειλε προσωρινά τη λειτουργία δημόσιων κυβερνητικών διαδικτυακών υπηρεσιών, ενώ η υπηρεσία κυβερνοασφάλειας της Ολλανδίας ανακοίνωσε ότι θα θέσει εκτός λειτουργίας τον δικό της ιστότοπο.
Στην Ολλανδία, εκτός λειτουργίας τέθηκε επίσης ο ιστότοπος του Εθνικού Ινστιτούτου Δημόσιας Υγείας και Περιβάλλοντος, ενός κυβερνητικού φορέα. Αντίστοιχα, μη προσβάσιμη έγινε η ιστοσελίδα της Tweede Kamer, της κάτω βουλής του ολλανδικού κοινοβουλίου.
Προβλήματα αντιμετώπισαν και χρήστες της Wikipedia, καθώς το Ίδρυμα Wikimedia προχώρησε σε προληπτικές ενέργειες για να περιορίσει τον κίνδυνο. Ο οργανισμός ανακοίνωσε ότι εργάζεται για την αντιμετώπιση των κενών ασφαλείας και ότι ορισμένα συστήματα τέθηκαν προσωρινά εκτός λειτουργίας μέχρι να μπορέσουν να διορθωθούν με ασφάλεια.
«Θέσαμε εκτός λειτουργίας ορισμένα άλλα συστήματα, ως προληπτικό μέτρο, μέχρι να μπορέσουν να διορθωθούν με ασφάλεια», ανέφερε χαρακτηριστικά.
Την ίδια ώρα, ο ιστότοπος του δημοτικού συμβουλίου του Εδιμβούργου έγινε μη προσβάσιμος, όπως και οι διαδικτυακές σελίδες αρκετών εκπομπών του BBC, μεταξύ των οποίων οι «Doctor Who» και «The Traitors».
Η προειδοποίηση της NSA
Οι ανησυχίες για πιθανές επιθέσεις δεν περιορίστηκαν στην Ευρώπη. Η Υπηρεσία Εθνικής Ασφάλειας των ΗΠΑ (NSA) εξέδωσε αντίστοιχη προειδοποίηση μέσω της πλατφόρμας X, καλώντας τους οργανισμούς να θέσουν τα συστήματά τους εκτός λειτουργίας, εάν δεν μπορούν να εγκαταστήσουν εγκαίρως την απαραίτητη ενημέρωση.
«Τα τρωτά αυτά σημεία παρέχουν συχνά άμεση πρόσβαση στο σύστημα αρχείων ή στη βάση δεδομένων του διακομιστή», ανέφερε η υπηρεσία.
Με άλλα λόγια, εάν ένας χάκερ καταφέρει να αξιοποιήσει ένα τέτοιο κενό ασφαλείας, ενδέχεται να αποκτήσει πρόσβαση σε αρχεία ή πληροφορίες που βρίσκονται αποθηκευμένες στον διακομιστή μιας ιστοσελίδας.
Παράλληλα, ο Λευκός Οίκος ανακοίνωσε ότι ομοσπονδιακές υπηρεσίες συνεργάζονται με κορυφαία εργαστήρια τεχνητής νοημοσύνης, προκειμένου να επιταχυνθεί η επίλυση του προβλήματος.
Στην Ιαπωνία, η πρωθυπουργός Σανάε Τακαϊτσι προέτρεψε τους χρήστες, μέσα από ανάρτησή της στο X, να ελέγξουν εάν οι δημόσια προσβάσιμοι ιστότοποί τους χρησιμοποιούν PHP. Αντίστοιχες προειδοποιήσεις εξέδωσαν και η εθνική υπηρεσία κυβερνοασφάλειας της Ιαπωνίας, καθώς και αξιωματούχοι της Ευρωπαϊκής Ένωσης που είναι αρμόδιοι για την κυβερνοασφάλεια.
Η AI εντόπισε κενά ασφαλείας που παρέμεναν κρυφά για χρόνια
Ένα από τα πιο σημαντικά στοιχεία της υπόθεσης είναι ο ρόλος της τεχνητής νοημοσύνης. Τα κενά ασφαλείας εντοπίστηκαν με τη βοήθεια προηγμένων μοντέλων που αναπτύχθηκαν από την OpenAI, τα οποία συνέβαλαν στην ανακάλυψη και ανάλυση προβλημάτων που παρέμεναν απαρατήρητα για περισσότερο από μία δεκαετία, σύμφωνα με τις εταιρείες που συμμετείχαν στην έρευνα.
Σε ανάρτηση στο ιστολόγιό της, η OpenAI χαρακτήρισε το ζήτημα ως «ένα από τα πιο σοβαρά προβλήματα ασφαλείας των τελευταίων ετών».
Από την πλευρά της, η εταιρεία κυβερνοασφάλειας Wiz περιέγραψε τα ευρήματα ως «τα σοβαρότερα τρωτά σημεία που έχουν εντοπιστεί ποτέ» με τη βοήθεια της συγκεκριμένης τεχνολογίας.
Η εταιρεία εξήγησε ότι η AI επέτρεψε στους ειδικούς να αναπτύξουν και να προσαρμόσουν εργαλεία που θα μπορούσαν να χρησιμοποιηθούν για την εκμετάλλευση των ευπαθειών σε διαφορετικές εφαρμογές μέσα σε πολύ σύντομο χρονικό διάστημα.
«Τα προηγμένα μοντέλα τεχνητής νοημοσύνης έπαιξαν καθοριστικό ρόλο στο να καταστεί αυτή η διαδικασία εφικτή, επιτρέποντάς μας να αναπτύξουμε και να προσαρμόσουμε λειτουργικά εργαλεία εκμετάλλευσης σε πολλαπλές εφαρμογές μέσα σε λίγες ώρες», ανέφερε η Wiz.
Το μέγεθος του προβλήματος αποτυπώνεται και στις εκτιμήσεις για την έκταση των πιθανών επιπτώσεων, καθώς υπολογίζεται ότι «περίπου το 70%» του διαδικτύου έχει επηρεαστεί. Πρόκειται για εκτίμηση που αναδεικνύει πόσο δύσκολο είναι να εντοπιστούν όλες οι ιστοσελίδες και οι εφαρμογές που μπορεί να βασίζονται στην ευάλωτη τεχνολογία.
Γιατί η PHP βρίσκεται πίσω από τόσες πολλές ιστοσελίδες
Η PHP είναι μια γλώσσα προγραμματισμού που χρησιμοποιείται για την ανάπτυξη και τη λειτουργία ιστοσελίδων. Με απλά λόγια, εκτελεί εργασίες στο παρασκήνιο ενός ιστότοπου, βοηθώντας τον να επεξεργάζεται δεδομένα και να εμφανίζει στον επισκέπτη το περιεχόμενο και τις λειτουργίες που χρειάζεται.
Η συγκεκριμένη τεχνολογία χρησιμοποιείται σε δημοφιλείς πλατφόρμες όπως το WordPress, το Drupal, το Joomla και το Magento, αλλά και σε υπηρεσίες φιλοξενίας ιστοσελίδων, πίνακες ελέγχου και εφαρμογές τρίτων κατασκευαστών.
Η εταιρεία κυβερνοασφάλειας Huntress περιέγραψε την έκταση της χρήσης της PHP ως εξής:
«Η PHP βρίσκεται παντού. Τροφοδοτεί αθόρυβα ιστότοπους που βασίζονται σε WordPress, Drupal, Joomla και Magento, πλατφόρμες κοινόχρηστης φιλοξενίας, πίνακες ελέγχου, καθώς και πλήθος άλλων λογισμικών που δεν αναφέρουν καν ότι χρησιμοποιούν PHP στο υπόβαθρό τους».
Αυτό σημαίνει ότι ένας οργανισμός μπορεί να χρησιμοποιεί την PHP χωρίς να το γνωρίζει απαραίτητα η ομάδα που διαχειρίζεται την ιστοσελίδα του. Η τεχνολογία μπορεί να βρίσκεται ενσωματωμένη σε κάποιο λογισμικό ή σε υπηρεσία τρίτου προμηθευτή, γεγονός που δυσκολεύει τον εντοπισμό όλων των πιθανών σημείων κινδύνου.
Ο Ντον Σμιθ, ειδικός σε θέματα κυβερνοασφάλειας από τη μονάδα Sophos Counter Threat Unit, δήλωσε στο BBC ότι οι συγκεκριμένες ευπάθειες θα αποτελέσουν «πιθανότατα στόχο προτεραιότητας» για τους χάκερ.
Όπως εξήγησε, η πρόκληση δεν περιορίζεται στην εγκατάσταση μιας ενημέρωσης ασφαλείας, γνωστής και ως patch. Οι οργανισμοί πρέπει πρώτα να εντοπίσουν πού ακριβώς χρησιμοποιείται η PHP και να ελέγξουν εάν κάποιο από αυτά τα συστήματα παραμένει εκτεθειμένο.
«Η χρήση της PHP είναι πανταχού παρούσα. Μπορεί να βρίσκεται στο υπόβαθρο δημόσιων ιστοτόπων, συστημάτων διαχείρισης περιεχομένου, πλατφορμών φιλοξενίας και προϊόντων τρίτων, συχνά χωρίς καν να είναι αντιληπτό από τον οργανισμό που τη χρησιμοποιεί», ανέφερε.
Ο ίδιος υπογράμμισε, επίσης, ότι οι οργανισμοί πρέπει να αναζητήσουν ενδείξεις που θα μπορούσαν να δείχνουν ότι ένας εισβολέας «ενδέχεται να έχει ήδη αποκτήσει πρόσβαση» στα συστήματά τους.
«Εμφανίζονται οι πρώτες επιθέσεις» – Τι φοβούνται οι ειδικοί
Οι ανησυχίες ενισχύθηκαν από τις αναφορές ότι έχουν ήδη αρχίσει να καταγράφονται επιθέσεις που σχετίζονται με τις ευπάθειες.
Ο Ντέιν Κνεχτ, επικεφαλής τεχνολογίας στην εταιρεία υποδομών διαδικτύου Cloudflare, δήλωσε ότι «παρατηρούνται ήδη οι πρώτες επιθέσεις», προσθέτοντας ότι η εταιρεία «επικαιροποιεί τα μέτρα αντιμετώπισης καθώς εμφανίζονται νέα διανύσματα επίθεσης».
Παράλληλα, η Ομάδα Αντιμετώπισης Εκτάκτων Αναγκών στον Κυβερνοχώρο της Ευρωπαϊκής Ένωσης (CERT-EU) ανέφερε ότι τα ευρήματα «υποδεικνύουν την πιθανότητα απομακρυσμένης εκτέλεσης κώδικα χωρίς να απαιτείται ταυτοποίηση».
Τι σημαίνει αυτό στην πράξη; Σε περίπτωση που μια τέτοια ευπάθεια αξιοποιηθεί επιτυχώς, ένας χάκερ μπορεί να καταφέρει να εκτελέσει εντολές σε έναν διακομιστή από απόσταση, χωρίς να χρειάζεται να συνδεθεί προηγουμένως με έναν κανονικό λογαριασμό.
Οι πιθανές συνέπειες περιλαμβάνουν την εγκατάσταση κακόβουλου λογισμικού, την πρόσβαση σε δεδομένα και την πρόκληση προβλημάτων στη λειτουργία ιστοσελίδων. Το ακριβές αποτέλεσμα εξαρτάται από το σύστημα που επηρεάζεται και από τον τρόπο με τον οποίο θα μπορούσε να αξιοποιηθεί η κάθε ευπάθεια.
Γι’ αυτό και το Εθνικό Κέντρο Κυβερνοασφάλειας του Ηνωμένου Βασιλείου (NCSC), μαζί με αντίστοιχους φορείς στην Ευρωπαϊκή Ένωση και την Αυστραλία, κάλεσε όσους χρησιμοποιούν PHP να εγκαταστήσουν τις απαραίτητες διορθώσεις.
Τι πρέπει να κάνουν όσοι χρησιμοποιούν PHP
Η πρώτη κίνηση για τους διαχειριστές ιστοσελίδων είναι να ελέγξουν εάν τα συστήματά τους χρησιμοποιούν PHP και ποια έκδοση έχουν εγκατεστημένη. Στη συνέχεια, θα πρέπει να εφαρμόσουν τις διαθέσιμες ενημερώσεις ασφαλείας και να ελέγξουν εάν υπάρχουν άλλες εφαρμογές ή υπηρεσίες που χρειάζονται ξεχωριστή αναβάθμιση.
Το NCSC συνέστησε στους οργανισμούς, αφού εγκαταστήσουν τις διορθώσεις, να «παρακολουθούν διαρκώς για ενημερώσεις ασφαλείας από τρίτους προμηθευτές λογισμικού, συμπεριλαμβανομένων εκείνων που αφορούν συσκευές και υπηρεσίες οι οποίες ενδέχεται να περιλαμβάνουν την PHP».
Εάν οι απαραίτητες διορθώσεις δεν μπορούν να εφαρμοστούν άμεσα, οι οργανισμοί καλούνται να εξετάσουν την προσωρινή διακοπή λειτουργίας των συστημάτων που κινδυνεύουν.
«Όταν η άμεση αποκατάσταση δεν είναι εφικτή, οι οργανισμοί θα πρέπει να εξετάσουν το ενδεχόμενο να θέσουν το σύστημα εκτός λειτουργίας, έως ότου αντιμετωπιστεί πλήρως το πρόβλημα», ανέφερε το NCSC.
Η διακοπή λειτουργίας μιας ιστοσελίδας μπορεί να προκαλέσει ταλαιπωρία στους επισκέπτες της, ωστόσο θεωρείται σε ορισμένες περιπτώσεις προτιμότερη από το να παραμείνει εκτεθειμένη σε πιθανές επιθέσεις.
Εξίσου σημαντικός είναι ο έλεγχος για ενδείξεις παραβίασης. Ακόμη κι αν εγκατασταθεί μια ενημέρωση, οι υπεύθυνοι των συστημάτων πρέπει να εξετάσουν εάν κάποιος χάκερ είχε καταφέρει να αποκτήσει πρόσβαση πριν από τη διόρθωση του προβλήματος.
Ποιες εκδόσεις της PHP ενδέχεται να επηρεάζονται
Μέχρι στιγμής, δεν έχει αποσαφηνιστεί πλήρως ποιες εκδόσεις της PHP επηρεάζονται από τις συγκεκριμένες ευπάθειες. Η CERT-EU ανέφερε ότι το πρόβλημα ενδέχεται να αφορά όλες τις εκδόσεις από την PHP 5 και μετά, η οποία κυκλοφόρησε το 2004.
Το PHP Foundation εξέδωσε ενημέρωση ασφαλείας μόνο για τις πιο πρόσφατες εκδόσεις. Για τον λόγο αυτό, όσοι εξακολουθούν να χρησιμοποιούν την PHP 8.1 ή παλαιότερη έκδοση καλούνται να προχωρήσουν σε αναβάθμιση.
Οι διαχειριστές θα πρέπει να ελέγξουν τις επίσημες ενημερώσεις και τις οδηγίες των προμηθευτών τους, ώστε να διαπιστώσουν ποιες ενέργειες απαιτούνται για τη δική τους εγκατάσταση. Ιδιαίτερη προσοχή χρειάζεται σε παλαιότερα συστήματα που ενδέχεται να μην υποστηρίζονται πλέον με ενημερώσεις ασφαλείας.
Γιατί η υπόθεση αφορά ολόκληρο το διαδίκτυο
Η συγκεκριμένη υπόθεση αναδεικνύει τόσο τις δυνατότητες όσο και τους κινδύνους που συνοδεύουν τη χρήση της τεχνητής νοημοσύνης στην κυβερνοασφάλεια. Από τη μία πλευρά, τα προηγμένα εργαλεία μπορούν να βοηθήσουν τους ειδικούς να εντοπίσουν αδυναμίες που παρέμεναν απαρατήρητες για χρόνια. Από την άλλη, η αξιοποίηση τέτοιων ευρημάτων από κακόβουλους χρήστες μπορεί να αυξήσει τον κίνδυνο επιθέσεων.
Για την PHP, η οποία χρησιμοποιείται σε μεγάλο μέρος του διαδικτύου, η αντιμετώπιση του προβλήματος είναι ιδιαίτερα απαιτητική. Οι οργανισμοί πρέπει να εντοπίσουν κάθε πιθανό ευάλωτο σύστημα, να εγκαταστήσουν τις κατάλληλες διορθώσεις και να ελέγξουν εάν έχουν ήδη σημειωθεί παραβιάσεις.
Το επόμενο διάστημα θα είναι κρίσιμο για να αποσαφηνιστεί η πραγματική έκταση των επιπτώσεων και να αξιολογηθεί η αποτελεσματικότητα των μέτρων προστασίας. Μέχρι τότε, οι ειδικοί επιμένουν στην ανάγκη για άμεσες ενημερώσεις ασφαλείας, συνεχή έλεγχο των συστημάτων και γρήγορη αντίδραση σε κάθε ένδειξη ύποπτης δραστηριότητας.
