Έχει τρία γράμματα, το χρησιμοποιείς καθημερινά και έριξε ιστοσελίδες σε όλο τον κόσμο

Πιθανότατα να μην έχεις ξαναδεί ποτέ το ακρωνύμιο PHP. Ή αν το έχεις ξαναδεί, να το μπερδεύεις με κάτι άλλο. Το μόνο σίγουρο είναι ότι το χρησιμοποιείς καθημερινά, κι ας μην το ξέρεις.

Κάθε φορά που ανοίγεις ένα site στο WordPress, διαβάζεις μια σελίδα στη Wikipedia ή χρησιμοποιείς κάποια από τις αμέτρητες υπηρεσίες που βασίζονται σε αυτή, πίσω από την οθόνη σου μπορεί να δουλεύει PHP. Πρόκειται για μία από τις βασικές γλώσσες πάνω στις οποίες χτίστηκε το σύγχρονο internet και, σύμφωνα με εκτιμήσεις της εταιρείας κυβερνοασφάλειας Wiz, βρίσκεται πίσω από περίπου το 70% των websites.

Γι’ αυτό και προκλήθηκε αναταραχή στον παγκόσμιο κυβερνοχώρο, όταν μετά τον εντοπισμό σοβαρών κενών ασφαλείας στη γλώσσα προγραμματισμού, ανάγκασε κυβερνήσεις και εταιρείες σε όλο τον κόσμο, από τη Φινλανδία μέχρι την Ιαπωνία, να θέσουν προληπτικά, εκτός λειτουργίας πολλούς επίσημους ιστότοπους, ανάμεσά τους τραπεζικές, αεροπορικές, σιδηροδρομικές, φορολογικές και κυβερνητικές πλατφόρμες.

Οι προγραμματιστές της PHP κυκλοφόρησαν χθες, Τετάρτη (21/10) επείγουσες διορθώσεις για ευπάθειες που παρέμεναν κρυφές στο λογισμικό για χρόνια, μέχρι που εντοπίστηκαν με τη βοήθεια τεχνητής νοημοσύνης, καλώντας τους χρήστες να πραγματοποιήσουν άμεση ενημέρωση.

Ωστόσο, οι λεπτομέρειες σχετικά με τα κενά ασφαλείας έγιναν γνωστές στο κοινό πριν να είναι έτοιμες οι διορθώσεις, με αποτέλεσμα να καταγραφούν και οι πρώτες κυβερνοεπιθέσεις. Όπως το έθεσε η Madeline Lawrence, συνιδρύτρια της βελγικής εταιρείας κυβερνοασφάλειας Aikido Security, οι εταιρείες βρέθηκαν σε μια κούρσα για να προλάβουν να ενημερώσουν τα συστήματά τους πριν οι επιτιθέμενοι, χρησιμοποιώντας και οι ίδιοι AI, εκμεταλλευτούν τα κενά.

Την ώρα που κυβερνήσεις και εταιρείες έσπευδαν να εγκαταστήσουν τις απαραίτητες διορθώσεις και να κατεβάσουν προληπτικά ιστοσελίδες, οι απόπειρες εκμετάλλευσης των κενών ασφαλείας εκτοξεύονταν. Σύμφωνα με την Cloudflare, τις δέκα ώρες πριν από τη δημόσια ανακοίνωση είχαν καταγραφεί χιλιάδες τέτοιες προσπάθειες, μέσα σε μόλις 45 λεπτά από τη δημοσιοποίηση έγιναν δεκάδες χιλιάδες, μέσα σε δύο ώρες εκατοντάδες χιλιάδες και λίγο αργότερα είχαν ήδη φτάσει τις εκατομμύρια απόπειρες κυβερνοεπίθεσης.

Τι είναι, λοιπόν, η PHP και πώς κατάφερε μια γλώσσα προγραμματισμού που οι περισσότεροι δεν γνωρίζουν καν, να γίνει ξαφνικά υπόθεση παγκόσμιας κυβερνοασφάλειας;

Η PHP, μια γλώσσα προγραμματισμού με ιστορία δεκαετιών, η οποία αρχικά ήταν συντομογραφία του “personal home page”, αποτελεί βασικό συστατικό δημοφιλών υπηρεσιών όπως το WordPress και το Drupal.

Eίναι το ακρωνύμιο του PHP: Hypertext Preprocessor, μιας γλώσσας προγραμματισμού ανοιχτού κώδικα για το back-end, η οποία εκτελείται σε έναν διακομιστή ιστού.

Αναπτύχθηκε στις αρχές της δεκαετίας του 1990 για τη δημιουργία δυναμικών ιστοσελίδων και εφαρμογών και, παρότι μετρά ήδη αρκετές δεκαετίες ζωής, εξακολουθεί να βρίσκεται πίσω από τεράστιο κομμάτι του web. Wikipedia, ηλεκτρονικά καταστήματα και φυσικά το WordPress είναι μερικά μόνο από τα πιο γνωστά παραδείγματα.

Με απλά λόγια, όταν επισκέπτεσαι ένα site, η PHP μπορεί να είναι ο κώδικας που συγκεντρώνει τις απαραίτητες πληροφορίες από τον server και τις μετατρέπει στη σελίδα που τελικά βλέπεις στην οθόνη σου.

Σύμφωνα με την εταιρεία κυβερνοασφάλειας Wiz, η PHP χρησιμοποιείται περίπου στο 70% των ιστοσελίδων παγκοσμίως. Τη συντήρησή της έχει αναλάβει το μη κερδοσκοπικό PHP Foundation, στο οποίο συμμετέχουν άτομα και εταιρείες που εξαρτώνται από τη γλώσσα και έχουν στόχο να διασφαλίσουν τη μακροχρόνια εξέλιξη και βιωσιμότητά της.

Ποιοι είναι οι κίνδυνοι από τα κενά ασφαλείας;

Οι δύο ευπάθειες έχουν βαθμολογηθεί με 9,2 στα 10 στην κλίμακα σοβαρότητας CVSS v4.0, ένα καθιερωμένο σύστημα αξιολόγησης που χρησιμοποιείται στον κλάδο. Η CERT-EU, η ομάδα αντιμετώπισης περιστατικών κυβερνοασφάλειας της Ευρωπαϊκής Ένωσης, ανέφερε ότι αυτή η βαθμολογία υποδηλώνει δυνατότητα απομακρυσμένης εκτέλεσης κώδικα χωρίς πιστοποίηση. Αυτό σημαίνει ότι ένας επιτιθέμενος μπορεί, μέσω του διαδικτύου, να εκτελέσει εντολές σε έναν ευάλωτο server χωρίς να διαθέτει κωδικό πρόσβασης ή λογαριασμό.

Ένα και μόνο κενό ασφαλείας στην PHP μπορεί να ανοίξει την ίδια «πόρτα» σε εκατομμύρια servers ταυτόχρονα. Όποιος καταφέρει να εκμεταλλευτεί αυτό το κενό μπορεί να αποκτήσει τον έλεγχο του website. Η εταιρεία web hosting GoDaddy ανέφερε ότι αυτό θα μπορούσε να οδηγήσει σε κλοπή δεδομένων, αλλοίωση ιστοσελίδων ή ακόμη και σε πλήρη παραβίαση του συστήματος. Ο επικεφαλής τεχνολογίας της Cloudflare δήλωσε ότι είχαν ήδη αρχίσει να εμφανίζονται οι πρώτες επιθέσεις.

Τα περισσότερα μικρά websites διαχειρίζονται συνήθως ιδιοκτήτες που δεν διαθέτουν προσωπικό ασφαλείας. Συχνά φιλοξενούνται σε shared hosting, όπου οι ίδιοι δεν διαχειρίζονται τον server και ενδέχεται να μη γνωρίζουν καν ποιος είναι υπεύθυνος για την αναβάθμιση της PHP.

Η Wordfence, ένα plugin ασφαλείας για ιστοσελίδες WordPress, προειδοποίησε ότι οι συνηθισμένες αυτόματες ενημερώσεις δεν θα εγκαταστήσουν τη συγκεκριμένη διόρθωση. Η οδηγία της CERT-EU είναι οι επηρεαζόμενοι ιστότοποι να τίθενται εκτός λειτουργίας, αντί να παραμένουν εκτεθειμένοι.

Πού κολλάει (πάλι) το ΑΙ;

Οι ερευνητές της Calif και της Wiz, οι οποίοι εντόπισαν τα κενά ασφαλείας, χρησιμοποίησαν προηγμένα εργαλεία τεχνητής νοημοσύνης, τα οποία μπορούν να αναλύουν κώδικα και να εντοπίζουν ελαττώματα πολύ πιο γρήγορα από ό,τι οι άνθρωποι ή τα παλαιότερα συστήματα.

«Το σύγχρονο λογισμικό είναι απίστευτα περίπλοκο, και ορισμένες ευπάθειες μπορεί να παραμείνουν απαρατήρητες για χρόνια. Τα υποκείμενα σφάλματα δεν ήταν καινούργια· αυτό που άλλαξε ήταν η ικανότητά μας να τα εντοπίζουμε», δήλωσε ο ερευνητής στον τομέα της κυβερνοασφάλειας Salil Kanhere από το UNSW του Σίδνεϊ.

Λεπτομέρειες σχετικά με την ανακάλυψη διέρρευσαν στο διαδίκτυο αυτή την εβδομάδα, αναγκάζοντας τους προγραμματιστές της πλατφόρμας PHP να ανακοινώσουν εσπευσμένα το κενό ασφαλείας και την τεράστια έκτασή του.

Το περιστατικό «αναδεικνύει τον τρόπο με τον οποίο η τεχνητή νοημοσύνη μπορεί να αποκαλύψει κενά ασφαλείας», αλλά και πώς μπορεί να «βοηθήσει τους επιτιθέμενους να αναπτύξουν γρήγορα εργαλεία επίθεσης και εκμεταλλεύσεις», ανέφερε η OpenAI σε ανάρτηση στο blog της.

«Πολλά από αυτά τα κενά ασφαλείας προέρχονται από τον τρόπο με τον οποίο κατασκευάζονταν τα λογισμικά στο παρελθόν, τα οποία σχεδιάζονταν με γνώμονα τη λειτουργικότητα και όχι την ασφάλεια», δήλωσε ο Ryan Ko, από το Κέντρο Κυβερνοερευνών του Πανεπιστημίου του Κουίνσλαντ.

ΣΧΕΤΙΚΟ ΘΕΜΑ