Oglasili se stručnjaci koji su otkrili veliki sigurnosni propust na webu: "Ovo je DEFCON 1, greška postojala 12 godina"

Na snimcima koje je objavio Reuters vide se upozorenja američke Agencije za nacionalnu sigurnost (NSA) i britanskog Nacionalnog centra za cyber sigurnost (NCSC). Tu su i obavještenja o prekidima rada stranica francuske i finske vlade te nedostupna stranica luke Rotterdam.

"Ulaz na kapiju, a onda slobodno po imanju"

Tomer Schwartz iz istraživačkog tima kompanije Wiz kaže da je riječ o propustu koji napadaču omogućava da bez ikakve prijave pokrene vlastiti kod na serveru.

"U krugovima cyber sigurnosti ovo je DEFCON 1. To znači da neko s druge strane žice može bez autentifikacije izvršiti bilo kakav kod, bilo kakve komande i preuzeti kontrolu nad drugom stranom", rekao je Schwartz. DEFCON 1 je najviši stepen pripravnosti u američkoj vojsci.

Prema njegovim riječima, PHP pokreće oko 70 posto web stranica, a propust je neotkriven postojao 12 godina. Ranjive su i stranice napravljene prije pet ili deset godina, čak i one koje su redovno ažurirane.

Ryan Austin, istraživač kompanije Calif, opasnost je opisao na primjeru kuće s dvorištem i garažom. Napadač koji iskoristi propust na nečijoj stranici ulazi kroz kapiju i zatim se može slobodno kretati po cijeloj mreži.

"Ransomware je, po mom mišljenju, najgora stvar koju ljudi rade na internetu. Ova vrsta ranjivosti je upravo ono što takvi napadači traže", rekao je Austin.

AI potvrdio sumnju za nekoliko dana

Austin kaže da se oslonio na iskustvo od 20 godina. Imao je pretpostavku gdje bi propust mogao biti, a AI agenti su je potvrdili. Da je umjetnu inteligenciju samo pitao da pronađe propust u PHP-u, dobio bi mnogo lažnih uzbuna koje zvuče opasno, a zapravo nisu.

Bez AI-ja bi ovakva provjera, kako kaže, trajala mjesecima, a oni su prve rezultate imali za pet ili šest dana. Dodao je da su svi propusti koje su pronašli zakrpljeni, ali da će sada mnogi tražiti šta još postoji.

Thai Duong, direktor Califa, naglašava da su i dalje potrebni ljudska intuicija i stručnjak za tastaturom. Za ispravke je, po njegovim riječima, timu PHP-a trebalo oko dva mjeseca rada tri osobe bez prestanka.

Procurilo dva dana ranije

Schwartz kaže da je PHP tim spojio nalaze Wiza, OpenAI-ja i Califa i zaključio da je problem u samoj arhitekturi PHP-a, osmišljenoj prije 12 godina. Zakrpa je zato morala biti napravljena tako da ne zahtijeva promjene u cijelom ekosistemu, a zatim je testirana kako se ne bi mogla zaobići.

Plan objave je, međutim, poremećen jer su informacije o propustu procurile dva dana prije roka, pa je izdanje moralo biti ubrzano. Schwartz objašnjava da napadači nakon objave zakrpe mogu analizirati izmjene i otkriti gdje je propust. Zato su neke agencije, posebno vladine, odlučile da ne mogu tolerisati taj rizik.

Ipak, smatra da korisnici zbog ovoga ne bi trebali odustajati od PHP-a. Prema njegovim riječima, tim PHP-a je odgovorno reagovao i interes korisnika stavio na prvo mjesto.

PHP tim je u srijedu objavio verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35 i svim korisnicima preporučio hitno ažuriranje.