Технологичният сектор се надпреварва да затвори критични пробойни в PHP – езика за програмиране с отворен код, върху който работи огромна част от интернет.

Две уязвимости, обединени под името PHP2Shell, могат да позволят на хакери дистанционно да изпълняват зловреден код върху засегнати сървъри. Това отваря възможност за кражба на чувствителни данни, достъп до файлови системи и бази данни, както и за използване на компрометирани сайтове при последващи кибератаки.

Проблемът е особено сериозен заради мащаба на PHP. Според The Wall Street Journal технологията се използва от до 70% от сайтовете в света. Това не означава, че всеки сайт, работещ с PHP, е уязвим, но потенциалният обхват е достатъчно голям, за да предизвика спешни предупреждения от правителства и служби за киберсигурност по целия свят.

Американската Агенция за национална сигурност призова организациите, използващи PHP, незабавно да се подготвят за инсталиране на актуализациите за сигурност. Ако това не може да стане веднага, агенцията препоръчва засегнатите системи временно да бъдат извадени от мрежата.

ФБР също предупреди, че злоумишлени участници могат да използват пробойните за дистанционно изпълнение на код и да изложат на риск чувствителни данни и цели мрежи.

Подобни предупреждения издадоха и институции в Сингапур, Великобритания, Австралия, Канада и Европейския съюз.

Някои оператори на държавни и корпоративни сайтове вече са предприели превантивно изключване на системите си, а още в сряда започнаха да се появяват сигнали за опити за експлоатиране на уязвимостите.

„Кибер чума“: Кражбата на онлайн пароли се превръща в пандемия

Най-сериозният проблем за PHP от повече от десетилетие

PHP2Shell е свързан с начина, по който PHP управлява паметта на компютъра. Уязвимостите могат да бъдат използвани по различни начини, а при някои системи атаката може да отнеме само секунди.

Хакер би могъл да използва пробойната, за да стартира неоторизиран софтуер върху всеки уеб сървър, който не е получил необходимата актуализация.

Според Волкер Душ, инженер по сигурността във фондацията с нестопанска цел, която управлява проекта PHP, това е най-тежкият проблем със сигурността на технологията от повече от десетилетие.

Пред WSJ той сравнява случая с Heartbleed – широко разпространена уязвимост, която преди повече от десет години предизвика глобална надпревара за защитата на стотици хиляди сървъри.

Разликата сега е скоростта.

Когато бъде публикувана корекция по сигурността, започва надпревара между защитниците и нападателите. Администраторите трябва да тестват и инсталират актуализацията, докато хакерите анализират самите промени в кода, за да разберат къде е била уязвимостта и как може да бъде използвана.

Съвременните AI системи могат да ускорят драматично и двете страни на този процес.

„Някой може да вземе пачовете, да ги пусне през AI и след това да публикува готов скрипт за атака“, казва Тай Дуонг, главен изпълнителен директор на компанията за киберсигурност Calif, която първа открива проблема. „Тогава ще настане пълен хаос.“

Свързани с Китай хакери удариха Тайван с безпрецедентна „автономна“ AI кибератака

AI откри уязвимостта

Иронията е, че същият изкуствен интелект, който може да помогне за експлоатирането на PHP2Shell, е бил ключов и за нейното откриване.

През август Райън Остин, изследовател в Calif, анализира изходния код на PHP с помощта на GPT-5.6 Sol – един от най-модерните модели на OpenAI.

Одитът е финансиран от OpenAI като част от по-широка инициатива, чрез която AI компании подпомагат проекти с отворен код при откриването на софтуерни слабости.

Проблемният клас дефекти е присъствал в PHP от години. Подобна проблемна зона е била отбелязана от изследовател още преди десетилетия, но тогава се е смятало, че практическото ѝ използване е прекалено сложно.

AI успява да намери начин.

Остин установява как атакуващ може да поеме контрол върху изпълняван код в паметта чрез сравнително малък брой заявки към сървър, работещ с PHP. При по-малки системи това може да стане за секунди, а при по-сложни – за часове.

WSJ разказва, че на 11 август Дуонг се свързва с екипа на PHP.

„Тук има сериозен проблем“, казва той.

От този момент започва координирана работа между разработчици, изследователи по киберсигурност, софтуерни дистрибутори и технологични компании за създаването и тестването на защитата.

Италианският стартъп Exein набра 270 млн. долара, за да се бори с AI хакерите

Google, OpenAI и Amazon се включват в защитата

Google, OpenAI и Amazon също участват в усилията около откриването, анализа и ограничаването на риска.

Изследователи от Wiz – киберсигурност компания на Google – независимо стигат до нови начини за експлоатиране на уязвимостта. Google съобщава, че модели Gemini са били използвани за анализ на пробойните, симулиране на потенциални атаки и проверка на защитните корекции.

OpenAI заявява, че нейни изследователи и AI модели също са помогнали за откриването на критични проблеми в PHP. Компанията посочва, че през последните два месеца е координирала работа между разработчици, специалисти по сигурността и доставчици на защитни решения, за да бъдат подготвени актуализациите преди публичното разкриване на проблема.

Според OpenAI става дума за едни от най-сериозните софтуерни уязвимости в последно време – пример едновременно за силата на AI при намирането на скрити проблеми и за риска същата технология да бъде използвана от киберпрестъпници.

Amazon пък съобщава, че нейният екип за анализ на заплахи е засекъл опити за експлоатиране на уязвимостите още преди официалното им оповестяване.

Компанията използва системата MadPot, която наблюдава подозрителна активност срещу публично достъпна интернет инфраструктура.

Според Amazon данните показват, че злонамерени участници вероятно вече са опитвали да използват пробойните. Остава неясно как са научили за тях преди публичното им разкриване.

Страните от Г-7 планират симулации на AI кибератаки срещу финансовия сектор

Тайна, пазена два месеца

PHP2Shell е била пазена в строга тайна, докато защитните механизми не бъдат готови.

Според Ами Лутвак, съосновател на Wiz, това може да се окаже „най-сериозната AI уязвимост, откривана досега“ и проблем, който вероятно би бил прекалено сложен за откриване без помощта на изкуствен интелект.

Опасението на екипите е било ясно: ако информацията изтече твърде рано, нападателите също могат да използват AI, за да разработят работещи инструменти за атака, преди защитата да бъде разпространена.

Мащабът на поправките показва колко сериозен е проблемът. Близо 200 файла е трябвало да бъдат променени, а разработчиците са написали над 10 000 реда код.

Първоначално актуализацията е трябвало да бъде публикувана на 22 октомври.

Информация за нея обаче изтича във вторник в публикация в Hacker News – по-малко от два дни преди планираното разкриване.

Екипът на PHP решава да ускори процеса и предупреждава публично, че още в сряда предстои критична актуализация.

Целта, по думите на Душ, е била да се намери баланс – администраторите да получат достатъчно време да се подготвят, без на нападателите да бъде оставен дълъг прозорец за разработване на работещи експлойти.

Бил Гейтс: Нито едно правителство в света не е готово за промените, които изкуственият интелект ще донесе

Надпревара за защита на интернет инфраструктурата

Екипът на PHP вече е публикувал корекциите, а властите призовават операторите на сайтове възможно най-бързо да установят дали използват засегнати версии и да ги актуализират.

Cloudflare съобщава, че е внедрила допълнителна защита срещу PHP2Shell чрез своята защитна стена за уеб приложения. Мерките са предназначени да блокират подозрителни заявки към уязвими системи и да дадат допълнителен слой защита, докато организациите инсталират необходимите актуализации.

Случаят с PHP2Shell показва колко бързо се променя балансът в киберсигурността.

AI позволява на специалистите да откриват слабости в софтуер, които са останали незабелязани с години. Същата технология обаче дава на нападателите възможност много по-бързо да анализират защитните корекции, да създават работещи експлойти и да мащабират атаките си.

Това превръща времето между откриването на една уязвимост и нейното окончателно отстраняване в още по-критичен фактор за сигурността на интернет.