Οι δημιουργοί της PHP, μιας τεχνολογίας που υποστηρίζει έως και το 70% των ιστοτόπων παγκοσμίως, αποκάλυψαν την Τετάρτη ένα κρίσιμο κενό ασφαλείας.
Αρχικά, η τεχνητή νοημοσύνη προανήγγειλε το λεγόμενο «Bugmageddon», ένα κύμα σοβαρών προβλημάτων λογισμικού που μπορούν να αξιοποιήσουν οι χάκερ.
Τώρα, προκαλεί μια επείγουσα κατάσταση κυβερνοασφάλειας, θέτοντας σε συναγερμό ειδικούς και διαχειριστές συστημάτων σε ολόκληρο τον κόσμο.
Οι δημιουργοί της PHP, μιας τεχνολογίας που υποστηρίζει έως και το 70% των ιστοτόπων παγκοσμίως, αποκάλυψαν την Τετάρτη ένα κρίσιμο κενό ασφαλείας.
Το συγκεκριμένο κενό θα μπορούσε να αξιοποιηθεί από χάκερ για να αποκτήσουν τον έλεγχο οποιουδήποτε συστήματος εκτελεί το λογισμικό της.
Αυτό θα επέτρεπε σε έναν επιτιθέμενο να υποκλέψει πληροφορίες ή να εξαπολύσει κυβερνοεπίθεση εναντίον οποιουδήποτε επισκέπτεται έναν παραβιασμένο ιστότοπο.
Την ευπάθεια εντόπισαν ερευνητές κυβερνοασφάλειας με τη βοήθεια της τεχνητής νοημοσύνης.
Τώρα, οι διαχειριστές ιστοτόπων προσπαθούν εσπευσμένα να προστατευθούν, καθώς τα προηγμένα συστήματα τεχνητής νοημοσύνης θα μπορούσαν να αξιοποιήσουν το κενό ασφαλείας σε πολύ σύντομο χρονικό διάστημα.
Ορισμένοι αναφέρουν ότι εξετάζουν ακόμη και το ενδεχόμενο να θέσουν προληπτικά τους ιστοτόπους τους εκτός λειτουργίας.
Το πρόβλημα, που ονομάστηκε PHP2Shell, αφορά μια κατηγορία ευπαθειών στον τρόπο με τον οποίο η PHP διαχειρίζεται τη μνήμη ενός υπολογιστή.
Οι χάκερ μπορούν να το εκμεταλλευτούν με διάφορους τρόπους, ορισμένοι από τους οποίους απαιτούν μόλις λίγα δευτερόλεπτα.
Με αυτόν τον τρόπο, μπορούν να εκτελέσουν μη εξουσιοδοτημένο λογισμικό σε οποιονδήποτε διακομιστή ιστού δεν έχει εγκαταστήσει τις απαραίτητες ενημερώσεις ασφαλείας.
Σύμφωνα με τον Volker Dusch, μηχανικό ασφάλειας στο μη κερδοσκοπικό ίδρυμα που διαχειρίζεται το έργο PHP, πρόκειται για το σοβαρότερο πρόβλημα ασφαλείας που έχει αντιμετωπίσει η PHP εδώ και περισσότερο από μία δεκαετία.
Ο ίδιος το παρομοίασε με το Heartbleed, μια αντίστοιχα εκτεταμένη ευπάθεια που είχε προκαλέσει, πριν από περισσότερα από δέκα χρόνια, έναν παγκόσμιο αγώνα για την προστασία εκατοντάδων χιλιάδων διακομιστών.
Όταν δημοσιοποιούνται ενημερώσεις ασφαλείας, ξεκινά μια κούρσα ανάμεσα στους αμυνόμενους και τους χάκερ.
Οι υπεύθυνοι ασφαλείας πρέπει να δοκιμάσουν και να εγκαταστήσουν τις διορθώσεις, ενώ οι επιτιθέμενοι μελετούν τις ίδιες ενημερώσεις για να εντοπίσουν νέες αδυναμίες.
Εξετάζουν τι έχει αλλάξει και αναζητούν τρόπους να επιτεθούν στα σημεία που τροποποιήθηκαν.
Ωστόσο, σύμφωνα με ειδικούς στον τομέα της ασφάλειας, τα σημερινά εργαλεία τεχνητής νοημοσύνης μπορούν να εκτελέσουν αυτήν την εργασία πολύ ταχύτερα από οποιονδήποτε άνθρωπο, αυξάνοντας ενδεχομένως τους κινδύνους.
«Κάποιος τυχαίος χρήστης στο Twitter θα μπορούσε να πάρει τις διορθώσεις, να χρησιμοποιήσει την τεχνητή νοημοσύνη για να τις αναλύσει και να δημοσιεύσει ένα σενάριο εκμετάλλευσης της ευπάθειας», δήλωσε ο Thai Duong, διευθύνων σύμβουλος της Calif, της εταιρείας κυβερνοασφάλειας που ανακάλυψε πρώτη το πρόβλημα. «Θα επικρατήσει χάος».
Η σοβαρή ευπάθεια
Ο Ryan Austin, ερευνητής στην Calif, εντόπισε τις αδυναμίες τον Αύγουστο, με τη βοήθεια του GPT-5.6 Sol, ενός από τα πιο προηγμένα μοντέλα της OpenAI, κατά τη διάρκεια ελέγχου του πηγαίου κώδικα της PHP.
Η OpenAI χρηματοδότησε αυτόν τον έλεγχο, καθώς και άλλες αντίστοιχες έρευνες, στο πλαίσιο μιας προσπάθειας εταιρειών τεχνητής νοημοσύνης να βοηθήσουν έργα λογισμικού ανοικτού κώδικα να αντιμετωπίσουν τις ευπάθειες που εντοπίζουν πλέον τα συστήματα τεχνητής νοημοσύνης.
Η συγκεκριμένη κατηγορία σφαλμάτων υπήρχε στον πηγαίο κώδικα της PHP εδώ και χρόνια.
Ένας ερευνητής ασφαλείας είχε επισημάνει ήδη από δεκαετίες νωρίτερα ότι επρόκειτο για μια προβληματική περιοχή του κώδικα.
Ωστόσο, σύμφωνα με τον Duong, η ευπάθεια θεωρούνταν υπερβολικά δύσκολο να αξιοποιηθεί και, με την πάροδο του χρόνου, είχε ουσιαστικά ξεχαστεί.
Η τεχνητή νοημοσύνη κατάφερε να βρει έναν τρόπο εκμετάλλευσής της.
Ο Austin ανακάλυψε πώς θα μπορούσε να ελέγξει τον κώδικα που εκτελείται στη μνήμη ενός υπολογιστή, στέλνοντας μόλις μερικές δεκάδες αιτήματα σε έναν διακομιστή που χρησιμοποιεί PHP. Σε μικρότερα συστήματα, η επίθεση μπορεί να ολοκληρωθεί μέσα σε λίγα δευτερόλεπτα. Σε πιο σύνθετα συστήματα, μπορεί να απαιτήσει αρκετές ώρες.
Στις 11 Αυγούστου, ο Duong επικοινώνησε τηλεφωνικά με τον Dusch της PHP.
«Υπάρχει εδώ ένα σοβαρό πρόβλημα», του είπε.
«Για μια στιγμή σκέφτηκα: “Θεέ μου, τι κάνουμε τώρα; Πώς θα το επικοινωνήσω αυτό;”», ανέφερε ο Dusch.
«Έπειτα, όμως, ηρεμείς, αφήνεις την αδρεναλίνη να κάνει τον κύκλο της και αρχίζεις να διορθώνεις το πρόβλημα», πρόσθεσε.
Σύντομα συγκροτήθηκε μια άτυπη ομάδα εργασίας, στην οποία συμμετείχαν ερευνητές κυβερνοασφάλειας και μηχανικοί λογισμικού. Σε συνεργασία με διανομείς λογισμικού και εταιρείες ασφάλειας, αναζήτησαν τρόπους για να διορθώσουν την ευπάθεια PHP2Shell και να αποτρέψουν την εκμετάλλευσή της.
Λίγο αργότερα, ερευνητές της ομάδας κυβερνοασφάλειας Wiz, της Google, επικοινώνησαν με την ομάδα, παρουσιάζοντας νέους τρόπους εκμετάλλευσης της ευπάθειας, τους οποίους είχαν ανακαλύψει ανεξάρτητα από την Calif. Αντίστοιχα ευρήματα προέκυψαν και από την ερευνητική ομάδα της OpenAI.
Η τεχνητή νοημοσύνη επιτρέπει πλέον σε ερευνητές με καλές προθέσεις να εντοπίζουν χιλιάδες σφάλματα λογισμικού, κατακλύζοντας έργα όπως η PHP με έναν τεράστιο αριθμό προβλημάτων που χρειάζονται διορθώσεις.
Ωστόσο, η PHP2Shell θεωρήθηκε απόλυτη προτεραιότητα.
Η ικανότητα της τεχνητής νοημοσύνης να εντοπίζει και να αξιοποιεί ευπάθειες προκάλεσε ανησυχίες ότι εγκληματίες του κυβερνοχώρου θα μπορούσαν να εκμεταλλευτούν το συγκεκριμένο κενό σε πολλούς ιστοτόπους προτού οι διαχειριστές προλάβουν να εγκαταστήσουν τις απαραίτητες ενημερώσεις ασφαλείας.
Κρατώντας το μυστικό
Η PHP2Shell είναι «η σοβαρότερη ευπάθεια που έχει εντοπιστεί ποτέ με τη βοήθεια της τεχνητής νοημοσύνης» και πιθανότατα θα ήταν υπερβολικά περίπλοκη για να ανακαλυφθεί χωρίς τη συμβολή της, δήλωσε ο Ami Luttwak, συνιδρυτής της Wiz.
Ο Duong και οι υπόλοιποι ερευνητές κράτησαν την ύπαρξη της ευπάθειας αυστηρά απόρρητη όσο εργάζονταν για την ανάπτυξη διορθώσεων.
Φοβούνταν ότι ένας χάκερ που θα αξιοποιούσε την τεχνητή νοημοσύνη θα μπορούσε να την ανακαλύψει και να την εκμεταλλευτεί προτού ολοκληρωθεί η διαδικασία αντιμετώπισης του προβλήματος.
Η προσπάθεια διόρθωσης ήταν τεράστια. Σχεδόν 200 αρχεία χρειάστηκε να τροποποιηθούν, ενώ οι προγραμματιστές έγραψαν περισσότερες από 10.000 γραμμές κώδικα κατά τη διάρκεια της διαδικασίας.
Τελικά, ορίστηκε η ημερομηνία δημοσίευσης της ενημέρωσης ασφαλείας: η 22α Οκτωβρίου. Ωστόσο, συνέβη το αναπόφευκτο. Η είδηση για την επικείμενη ενημέρωση διέρρευσε την Τρίτη, μέσω μιας ανάρτησης στο Hacker News, λιγότερο από δύο ημέρες πριν από την προγραμματισμένη κυκλοφορία της.
Η ομάδα του Dusch αποφάσισε να επισπεύσει τη δημοσίευση της διόρθωσης. Την Τρίτη, απηύθυνε προειδοποίηση προς τη διεθνή κοινότητα, καλώντας την να βρίσκεται σε ετοιμότητα για μια κρίσιμη ενημέρωση ασφαλείας που θα δημοσιοποιούνταν την Τετάρτη.
Όπως εξήγησε ο Dusch, η απόφαση αυτή αποτελούσε «μια καλή ισορροπία: να ενημερωθούν όσοι είναι υπεύθυνοι για την άμυνα των συστημάτων, χωρίς να δοθεί στους επιτιθέμενους υπερβολικά πολύς χρόνος για να αναπτύξουν τρόπους εκμετάλλευσης της ευπάθειας».
www.bankingnews.gr
Τώρα, προκαλεί μια επείγουσα κατάσταση κυβερνοασφάλειας, θέτοντας σε συναγερμό ειδικούς και διαχειριστές συστημάτων σε ολόκληρο τον κόσμο.
Οι δημιουργοί της PHP, μιας τεχνολογίας που υποστηρίζει έως και το 70% των ιστοτόπων παγκοσμίως, αποκάλυψαν την Τετάρτη ένα κρίσιμο κενό ασφαλείας.
Το συγκεκριμένο κενό θα μπορούσε να αξιοποιηθεί από χάκερ για να αποκτήσουν τον έλεγχο οποιουδήποτε συστήματος εκτελεί το λογισμικό της.
Αυτό θα επέτρεπε σε έναν επιτιθέμενο να υποκλέψει πληροφορίες ή να εξαπολύσει κυβερνοεπίθεση εναντίον οποιουδήποτε επισκέπτεται έναν παραβιασμένο ιστότοπο.
Την ευπάθεια εντόπισαν ερευνητές κυβερνοασφάλειας με τη βοήθεια της τεχνητής νοημοσύνης.
Τώρα, οι διαχειριστές ιστοτόπων προσπαθούν εσπευσμένα να προστατευθούν, καθώς τα προηγμένα συστήματα τεχνητής νοημοσύνης θα μπορούσαν να αξιοποιήσουν το κενό ασφαλείας σε πολύ σύντομο χρονικό διάστημα.
Ορισμένοι αναφέρουν ότι εξετάζουν ακόμη και το ενδεχόμενο να θέσουν προληπτικά τους ιστοτόπους τους εκτός λειτουργίας.
Το πρόβλημα, που ονομάστηκε PHP2Shell, αφορά μια κατηγορία ευπαθειών στον τρόπο με τον οποίο η PHP διαχειρίζεται τη μνήμη ενός υπολογιστή.
Οι χάκερ μπορούν να το εκμεταλλευτούν με διάφορους τρόπους, ορισμένοι από τους οποίους απαιτούν μόλις λίγα δευτερόλεπτα.
Με αυτόν τον τρόπο, μπορούν να εκτελέσουν μη εξουσιοδοτημένο λογισμικό σε οποιονδήποτε διακομιστή ιστού δεν έχει εγκαταστήσει τις απαραίτητες ενημερώσεις ασφαλείας.
Σύμφωνα με τον Volker Dusch, μηχανικό ασφάλειας στο μη κερδοσκοπικό ίδρυμα που διαχειρίζεται το έργο PHP, πρόκειται για το σοβαρότερο πρόβλημα ασφαλείας που έχει αντιμετωπίσει η PHP εδώ και περισσότερο από μία δεκαετία.
Ο ίδιος το παρομοίασε με το Heartbleed, μια αντίστοιχα εκτεταμένη ευπάθεια που είχε προκαλέσει, πριν από περισσότερα από δέκα χρόνια, έναν παγκόσμιο αγώνα για την προστασία εκατοντάδων χιλιάδων διακομιστών.
Όταν δημοσιοποιούνται ενημερώσεις ασφαλείας, ξεκινά μια κούρσα ανάμεσα στους αμυνόμενους και τους χάκερ.
Οι υπεύθυνοι ασφαλείας πρέπει να δοκιμάσουν και να εγκαταστήσουν τις διορθώσεις, ενώ οι επιτιθέμενοι μελετούν τις ίδιες ενημερώσεις για να εντοπίσουν νέες αδυναμίες.
Εξετάζουν τι έχει αλλάξει και αναζητούν τρόπους να επιτεθούν στα σημεία που τροποποιήθηκαν.
Ωστόσο, σύμφωνα με ειδικούς στον τομέα της ασφάλειας, τα σημερινά εργαλεία τεχνητής νοημοσύνης μπορούν να εκτελέσουν αυτήν την εργασία πολύ ταχύτερα από οποιονδήποτε άνθρωπο, αυξάνοντας ενδεχομένως τους κινδύνους.
«Κάποιος τυχαίος χρήστης στο Twitter θα μπορούσε να πάρει τις διορθώσεις, να χρησιμοποιήσει την τεχνητή νοημοσύνη για να τις αναλύσει και να δημοσιεύσει ένα σενάριο εκμετάλλευσης της ευπάθειας», δήλωσε ο Thai Duong, διευθύνων σύμβουλος της Calif, της εταιρείας κυβερνοασφάλειας που ανακάλυψε πρώτη το πρόβλημα. «Θα επικρατήσει χάος».
Η σοβαρή ευπάθεια
Ο Ryan Austin, ερευνητής στην Calif, εντόπισε τις αδυναμίες τον Αύγουστο, με τη βοήθεια του GPT-5.6 Sol, ενός από τα πιο προηγμένα μοντέλα της OpenAI, κατά τη διάρκεια ελέγχου του πηγαίου κώδικα της PHP.
Η OpenAI χρηματοδότησε αυτόν τον έλεγχο, καθώς και άλλες αντίστοιχες έρευνες, στο πλαίσιο μιας προσπάθειας εταιρειών τεχνητής νοημοσύνης να βοηθήσουν έργα λογισμικού ανοικτού κώδικα να αντιμετωπίσουν τις ευπάθειες που εντοπίζουν πλέον τα συστήματα τεχνητής νοημοσύνης.
Η συγκεκριμένη κατηγορία σφαλμάτων υπήρχε στον πηγαίο κώδικα της PHP εδώ και χρόνια.
Ένας ερευνητής ασφαλείας είχε επισημάνει ήδη από δεκαετίες νωρίτερα ότι επρόκειτο για μια προβληματική περιοχή του κώδικα.
Ωστόσο, σύμφωνα με τον Duong, η ευπάθεια θεωρούνταν υπερβολικά δύσκολο να αξιοποιηθεί και, με την πάροδο του χρόνου, είχε ουσιαστικά ξεχαστεί.
Η τεχνητή νοημοσύνη κατάφερε να βρει έναν τρόπο εκμετάλλευσής της.
Ο Austin ανακάλυψε πώς θα μπορούσε να ελέγξει τον κώδικα που εκτελείται στη μνήμη ενός υπολογιστή, στέλνοντας μόλις μερικές δεκάδες αιτήματα σε έναν διακομιστή που χρησιμοποιεί PHP. Σε μικρότερα συστήματα, η επίθεση μπορεί να ολοκληρωθεί μέσα σε λίγα δευτερόλεπτα. Σε πιο σύνθετα συστήματα, μπορεί να απαιτήσει αρκετές ώρες.
Στις 11 Αυγούστου, ο Duong επικοινώνησε τηλεφωνικά με τον Dusch της PHP.
«Υπάρχει εδώ ένα σοβαρό πρόβλημα», του είπε.
«Για μια στιγμή σκέφτηκα: “Θεέ μου, τι κάνουμε τώρα; Πώς θα το επικοινωνήσω αυτό;”», ανέφερε ο Dusch.
«Έπειτα, όμως, ηρεμείς, αφήνεις την αδρεναλίνη να κάνει τον κύκλο της και αρχίζεις να διορθώνεις το πρόβλημα», πρόσθεσε.
Σύντομα συγκροτήθηκε μια άτυπη ομάδα εργασίας, στην οποία συμμετείχαν ερευνητές κυβερνοασφάλειας και μηχανικοί λογισμικού. Σε συνεργασία με διανομείς λογισμικού και εταιρείες ασφάλειας, αναζήτησαν τρόπους για να διορθώσουν την ευπάθεια PHP2Shell και να αποτρέψουν την εκμετάλλευσή της.
Λίγο αργότερα, ερευνητές της ομάδας κυβερνοασφάλειας Wiz, της Google, επικοινώνησαν με την ομάδα, παρουσιάζοντας νέους τρόπους εκμετάλλευσης της ευπάθειας, τους οποίους είχαν ανακαλύψει ανεξάρτητα από την Calif. Αντίστοιχα ευρήματα προέκυψαν και από την ερευνητική ομάδα της OpenAI.
Η τεχνητή νοημοσύνη επιτρέπει πλέον σε ερευνητές με καλές προθέσεις να εντοπίζουν χιλιάδες σφάλματα λογισμικού, κατακλύζοντας έργα όπως η PHP με έναν τεράστιο αριθμό προβλημάτων που χρειάζονται διορθώσεις.
Ωστόσο, η PHP2Shell θεωρήθηκε απόλυτη προτεραιότητα.
Η ικανότητα της τεχνητής νοημοσύνης να εντοπίζει και να αξιοποιεί ευπάθειες προκάλεσε ανησυχίες ότι εγκληματίες του κυβερνοχώρου θα μπορούσαν να εκμεταλλευτούν το συγκεκριμένο κενό σε πολλούς ιστοτόπους προτού οι διαχειριστές προλάβουν να εγκαταστήσουν τις απαραίτητες ενημερώσεις ασφαλείας.
Κρατώντας το μυστικό
Η PHP2Shell είναι «η σοβαρότερη ευπάθεια που έχει εντοπιστεί ποτέ με τη βοήθεια της τεχνητής νοημοσύνης» και πιθανότατα θα ήταν υπερβολικά περίπλοκη για να ανακαλυφθεί χωρίς τη συμβολή της, δήλωσε ο Ami Luttwak, συνιδρυτής της Wiz.
Ο Duong και οι υπόλοιποι ερευνητές κράτησαν την ύπαρξη της ευπάθειας αυστηρά απόρρητη όσο εργάζονταν για την ανάπτυξη διορθώσεων.
Φοβούνταν ότι ένας χάκερ που θα αξιοποιούσε την τεχνητή νοημοσύνη θα μπορούσε να την ανακαλύψει και να την εκμεταλλευτεί προτού ολοκληρωθεί η διαδικασία αντιμετώπισης του προβλήματος.
Η προσπάθεια διόρθωσης ήταν τεράστια. Σχεδόν 200 αρχεία χρειάστηκε να τροποποιηθούν, ενώ οι προγραμματιστές έγραψαν περισσότερες από 10.000 γραμμές κώδικα κατά τη διάρκεια της διαδικασίας.
Τελικά, ορίστηκε η ημερομηνία δημοσίευσης της ενημέρωσης ασφαλείας: η 22α Οκτωβρίου. Ωστόσο, συνέβη το αναπόφευκτο. Η είδηση για την επικείμενη ενημέρωση διέρρευσε την Τρίτη, μέσω μιας ανάρτησης στο Hacker News, λιγότερο από δύο ημέρες πριν από την προγραμματισμένη κυκλοφορία της.
Η ομάδα του Dusch αποφάσισε να επισπεύσει τη δημοσίευση της διόρθωσης. Την Τρίτη, απηύθυνε προειδοποίηση προς τη διεθνή κοινότητα, καλώντας την να βρίσκεται σε ετοιμότητα για μια κρίσιμη ενημέρωση ασφαλείας που θα δημοσιοποιούνταν την Τετάρτη.
Όπως εξήγησε ο Dusch, η απόφαση αυτή αποτελούσε «μια καλή ισορροπία: να ενημερωθούν όσοι είναι υπεύθυνοι για την άμυνα των συστημάτων, χωρίς να δοθεί στους επιτιθέμενους υπερβολικά πολύς χρόνος για να αναπτύξουν τρόπους εκμετάλλευσης της ευπάθειας».
www.bankingnews.gr
Σχόλια αναγνωστών