PHP to jeden z najpowszechniej stosowanych języków programowania, służący do obsługi stron internetowych. Gdy użytkownik wczytuje stronę, serwer z uruchomionym PHP generuje jej zawartość i wysyła ją do przeglądarki. Innymi słowy - gdy padnie PHP, padną miliony stron internetowych. Z systemu korzysta bowiem ok. 75 proc. stron internetowych, których język programowania można zidentyfikować.
Tymczasem we wtorek (20 października) twórcy PHP przekazali, że zidentyfikowali dwie krytyczne luki w zabezpieczeniach i wezwali użytkowników do aktualizacji swoich stron natychmiast po opublikowaniu poprawki "PHP2Shell". Luki mogą umożliwić hakerom zdalne wykonywanie złośliwego kodu na zainfekowanych serwerach, potencjalnie ujawniając poufne dane. Co ważne, nie każda strona internetowa korzystająca z PHP jest podatna na ataki.
Big Techy ostrzegają ws. krytycznej luki w oprogramowaniu PHP
Informacja wywołała powszechną panikę. Ostrzeżenie przed zagrożeniem wydały władze m.in. USA, Wielkiej Brytanii, Australii oraz Unii Europejskiej. Alarm podniosły też firmy technologiczne. Google i OpenAI przyznały, że użyły własnych modeli sztucznej inteligencji do wykrycia luk i przeprowadzenia potencjalnych ataków, by móc wprowadzić poprawki zwiększające bezpieczeństwo.
W OpenAI przez ostatnie dwa miesiące programiści pracowali nad zabezpieczeniem luk. Wykryli je jeszcze przed oficjalnym ujawnieniem. Podobnie Amazon. Co ciekawe, jego zespół ds. analizy zagrożeń wykrył próby wykorzystania ułomności w zabezpieczeniach. Hakerzy spróbowali przypuścić atak na jego serwery jeszcze przed tym, jak PHP oficjalnie przyznało się do luk w zabezpieczeniach.
Twórca ChataGPT określił luki jako "jedne z najpoważniejszych problemów bezpieczeństwa w ostatnich latach". Ostrzegł, że potencjał zaawansowanych systemów sztucznej inteligencji może zostać wykorzystany zarówno do identyfikowania słabości w zabezpieczeniach powszechnie używanego oprogramowania, jak i przez cyberprzestępców do wykradzenia danych. Co ciekawe, to właśnie sztuczna inteligencja wykryła luki w oprogramowaniu.
Sztuczna inteligencja sprawia, że problem jest jeszcze poważniejszy. Nie tylko PHP
- Skala jest ogromna, a dzięki sztucznej inteligencji wykorzystanie tej luki może nastąpić natychmiast - ostrzega w rozmowie z Reutersem Łukasz Olejnik, ekspert ds. cyberbezpieczeństwa. Dodaje, że "nie ma mowy, by wszystko podatne (strony internetowe - red.) było zaktualizowane na czas, czyli kilka godzin temu". W portalu X pisze wręcz o "PHPokalipsie". W efekcie wiele państw wyszło z założenia, że nie da się zhakować czegoś, czego nie ma i wyłączyło rządowe strony internetowe. Zrobiono tak m.in. w Niemczech, Holandii, Belgii, Finlandii i we Francji.
Jak informuje Niebezpiecznik, nie tylko w PHP wykryto podejrzane luki. Także firmy Java i Node.js wypuściły aktualizacje, które korygują poważne błędy (w tym takie, które pozwalają atakującym na zdalne wykonanie kodu bez uwierzytelnienia). "Jeśli wczoraj przez PHP mieliście słaby dzień, to dziś możecie mieć jeszcze słabszy" - pisze Niebezpiecznik. I radzi, by pobierać aktualizacje, zanim "AI wkroczy do akcji".
Przeczytaj też: "Poważne luki w popularnym języku programowania. Miliony stron internetowych zagrożone".
