FBI σε ιστοσελίδες: «Θέστε τα συστήματα εκτός σύνδεσης μέχρι να αντιμετωπιστεί πλήρως ο κίνδυνος»
Αγώνας δρόμου για κενό ασφαλείας που θα μπορούσε να επηρεάσει το 70% των ιστοτόπων παγκοσμίως
Snapshot
- Το FBI προειδοποίησε για ευπάθειες στην PHP που απειλούν το 70% των ιστοτόπων παγκοσμίως και συνιστά την προσωρινή αποσύνδεση ιστοσελίδων που δεν έχουν ενημερωθεί άμεσα.
- Κυβερνήσεις όπως η Βρετανία, η Φινλανδία και η Ιαπωνία έχουν ήδη πραγματοποιήσει προσωρινές διακοπές σε ιστοτόπους για την εφαρμογή διορθώσεων ασφαλείας.
- Οι ευπάθειες επιτρέπουν την εκτέλεση εξ αποστάσεως κακόβουλου κώδικα, αυξάνοντας τον κίνδυνο παραβίασης δεδομένων και δικτύων.
- Η πλήρης αντιμετώπιση του προβλήματος μπορεί να διαρκέσει εβδομάδες ή και μήνες, καθώς απαιτείται εντοπισμός, αξιολόγηση και εφαρμογή διορθώσεων σε πολλές εγκαταστάσεις.
- Η τεχνητή νοημοσύνη συνέβαλε στον εντοπισμό των ευπαθειών, ενώ οι ειδικοί τονίζουν ότι η άμεση ενημέρωση και η χρήση ελέγχου ταυτότητας δύο παραγόντων είναι κρίσιμες για την προστασία.
Κυβερνήσεις και επιχειρήσεις εργάζονταν για την εφαρμογή επειγουσών ενημερώσεων ασφαλείας, μετά τον εντοπισμό, με τη βοήθεια τεχνητής νοημοσύνης, ευπαθειών σε μια γλώσσα προγραμματισμού ζωτικής σημασίας για το 70% των ιστοτόπων παγκοσμίως.
Πολλοί κυβερνητικοί ιστότοποι έδειχναν να λειτουργούν κανονικά την Πέμπτη. Ωστόσο, σε άλλους συνεχίζονταν οι διακοπές ή η περιορισμένη παροχή υπηρεσιών, όσο βρίσκονταν σε εξέλιξη οι εργασίες ασφαλείας.
Ο κλάδος κυβερνοασφάλειας του FBI προειδοποίησε την Τετάρτη ότι οι ευπάθειες θα μπορούσαν να επιτρέψουν σε κακόβουλους δράστες να εκτελέσουν εξ αποστάσεως κώδικα στην PHP, τη γλώσσα προγραμματισμού που υποστηρίζει ιστοτόπους και διαδικτυακές εφαρμογές.
Αυτό αυξάνει τον κίνδυνο παραβίασης ευαίσθητων δεδομένων και δικτύων, ανέφερε η υπηρεσία, συνιστώντας στους διαχειριστές να θέσουν τους ιστοτόπους εκτός σύνδεσης εάν δεν μπορούν να τους ενημερώσουν αμέσως.
Ειδικοί κυβερνοασφάλειας που μίλησαν στο Associated Press εκτίμησαν ότι οι επιπτώσεις των ευπαθειών θα συνεχίσουν να γίνονται αισθητές για κάποιο διάστημα. Τόνισαν, πάντως, ότι οι κυβερνήσεις ακολουθούν τις ενδεδειγμένες πρακτικές κυβερνοασφάλειας, αποσύροντας προσωρινά ιστοτόπους από το διαδίκτυο μέχρι να εφαρμοστούν οι διορθώσεις.
Περιορισμένες διακοπές σε κυβερνητικούς ιστοτόπους
Στη Βρετανία, ορισμένες «περιορισμένης έκτασης» κυβερνητικές υπηρεσίες ενδέχεται να τεθούν προσωρινά εκτός λειτουργίας, όσο πραγματοποιούνται εργασίες για την αντιμετώπιση πιθανών προβλημάτων κυβερνοασφάλειας, ανακοίνωσε το γραφείο της πρωθυπουργού.
«Έχουν ήδη πραγματοποιηθεί εργασίες σε όλο το φάσμα της κυβέρνησης για τον εντοπισμό και την αποκατάσταση πιθανών σημείων έκθεσης των συστημάτων μας. Οι ειδικοί μας εξακολουθούν να συνεργάζονται στενά τόσο με την OpenAI όσο και με διεθνείς εταίρους για το ζήτημα», δήλωσε εκπρόσωπος την Πέμπτη.
«Καμία μεγάλη, κρίσιμη υπηρεσία που εξυπηρετεί το κοινό δεν επηρεάζεται από αυτή τη διαδικασία. Ωστόσο, ορισμένες περιορισμένες υπηρεσίες ενδέχεται να είναι προσωρινά εκτός λειτουργίας όσο εκτελούνται οι εργασίες ασφαλείας», πρόσθεσε.
Στον ιστότοπο της φινλανδικής κυβέρνησης αναφερόταν ότι η δυσλειτουργία είχε αποκατασταθεί, αλλά «εξακολουθεί να λείπει μέρος του περιεχομένου, το οποίο βρίσκεται σε διαδικασία επαναφοράς».
Στην Ιαπωνία, ο ιστότοπος της περιφέρειας της Οσάκα ανακοίνωσε ότι η υπηρεσία αυτόματης μετάφρασης ήταν «μη διαθέσιμη λόγω βλάβης του συστήματος».
Η πρωθυπουργός της Ιαπωνίας κοινοποίησε στα κοινωνικά δίκτυα κυβερνητική προειδοποίηση, καλώντας τους διαχειριστές ιστοτόπων να ελέγξουν εάν χρησιμοποιούν PHP και να εγκαταστήσουν αμέσως τη διόρθωση που κυκλοφόρησε αργά την Τετάρτη.
«Εάν είναι δύσκολο να εφαρμοστεί άμεσα η διόρθωση, η προσωρινή αναστολή λειτουργίας ιστοτόπων και άλλα παρόμοια μέτρα μπορούν να θεωρηθούν αποτελεσματικοί τρόποι μείωσης του κινδύνου», δήλωσε η πρωθυπουργός Σανάε Τακαΐτσι.
Ο επικεφαλής γραμματέας του υπουργικού συμβουλίου Μινόρου Κιχάρα ανέφερε ότι η κυβέρνηση δεν είχε λάβει αναφορές για ζημιές από κυβερνοεπιθέσεις που συνδέονται με την ευπάθεια της PHP. Όπως είπε, τμήματα ορισμένων κυβερνητικών ιστοτόπων τέθηκαν προσωρινά εκτός λειτουργίας για να ελαχιστοποιηθούν οι κίνδυνοι, «καθαρά για προληπτικούς λόγους».
Το κενό ασφαλείας δεν ήταν νέο - Ο κίνδυνος έγινε αμέσως αντιληπτός
Οι δύο κρίσιμες ευπάθειες που εντοπίστηκαν με τη βοήθεια της τεχνητής νοημοσύνης θα μπορούσαν να επιτρέψουν σε κακόβουλους δράστες να αποκτήσουν πρόσβαση σε ιστοτόπους χωρίς έλεγχο ταυτότητας. Θεωρητικά, αυτό θα τους επέτρεπε να ελέγχουν εξ αποστάσεως έναν διακομιστή ιστού χωρίς να χρειάζονται κωδικό πρόσβασης, εξήγησε ο Τζέιμς Σάλιβαν, διευθυντής Κυβερνοασφάλειας και Τεχνολογίας στο Royal United Services Institute του Λονδίνου.
Ένας χάκερ θα μπορούσε έτσι να υποκλέψει ή να αλλοιώσει δεδομένα, ή να χρησιμοποιήσει το σύστημα ως βάση για άλλες επιθέσεις, πρόσθεσε.
Η προσωρινή απόσυρση ιστοτόπων από το διαδίκτυο μέχρι την επίλυση του προβλήματος αποτελεί «ορθή πρακτική» και ενδεδειγμένη διαχείριση του κυβερνοκινδύνου. Είναι, ωστόσο, «εντυπωσιακό» ότι ορισμένα από τα κενά υπάρχουν εδώ και περισσότερο από μία δεκαετία, από τότε δηλαδή που δημιουργήθηκε το σχετικό λογισμικό, ανέφερε ο Σάλιβαν.
Πράκτορες τεχνητής νοημοσύνης συνέβαλαν στον εντοπισμό των ευπαθειών. Σε ανάρτησή της, η OpenAI ανέφερε ότι τους τελευταίους δύο μήνες ηγήθηκε μιας συμμαχίας ερευνητών, παρόχων υπηρεσιών ασφάλειας και άλλων φορέων για την αντιμετώπιση των κενών στην PHP.
Η εταιρεία χαρακτήρισε τις ευπάθειες «ένα από τα σημαντικότερα ζητήματα ασφαλείας των τελευταίων ετών». Ανέφερε επίσης ότι η τεχνητή νοημοσύνη φαίνεται πως τις εντόπισε προτού το κάνουν επιτιθέμενοι.
Σύμφωνα με το PHP Foundation, η ευπάθεια ήταν γνωστή τουλάχιστον από το 2024. Το ίδρυμα ανέλαβε μέρος της ευθύνης για το γεγονός ότι δεν είχε δοθεί νωρίτερα λύση.
«Η καθυστέρηση αποτέλεσε δομική αστοχία, η οποία οφειλόταν τόσο στη διαδικασία λήψης αποφάσεων της ομάδας ασφαλείας όσο και στην έλλειψη πόρων», ανέφερε.
Η πλήρης αντιμετώπιση μπορεί να χρειαστεί εβδομάδες ή μήνες
«Η δυνητική έκταση των επιπτώσεων είναι, ειλικρινά, τεράστια», δήλωσε ο Σαρλ βαν ντερ Βαλτ, επικεφαλής έρευνας ασφαλείας στην Orange Cyberdefense.
«Αυτό που βλέπουμε τώρα είναι, πιστεύω, μόνο οι πρώτες δονήσεις. Όσα πρόκειται να ακολουθήσουν τις επόμενες εβδομάδες και τους επόμενους μήνες θα είναι πολύ σημαντικότερα», εκτίμησε.
Αυτό συμβαίνει επειδή η PHP είναι θεμελιώδης για τη λειτουργία πολλών ιστοτόπων και διαδικτυακών εφαρμογών και μπορεί να βρίσκεται βαθιά ενσωματωμένη σε οτιδήποτε, από ιστολόγια έως φρυγανιέρες συνδεδεμένες στο διαδίκτυο και κάμερες παρακολούθησης μωρών, εξήγησε.
Παρότι οι προγραμματιστές πρέπει να διορθώσουν τα σφάλματα, οι διορθώσεις πρέπει να εφαρμοστούν και σε κάθε επιμέρους εγκατάσταση του λογισμικού. Αυτό προϋποθέτει ότι οι εταιρείες θα αναγνωρίσουν πρώτα πως το χρησιμοποιούν.
Στη συνέχεια, πρέπει να «εντοπίσουν τα συστήματα στα οποία εκτελείται, να προσδιορίσουν ποιος είναι υπεύθυνος για αυτά και να αξιολογήσουν τον κίνδυνο, ώστε να αποφασίσουν πότε και εάν μπορεί να εφαρμοστεί η διόρθωση», σημείωσε ο βαν ντερ Βαλτ.
Το εντατικότερο στάδιο της αποκατάστασης αναμένεται τις επόμενες εβδομάδες. Ενδέχεται, όμως, να χρειαστούν «μήνες ή χρόνια μέχρι να εντοπιστούν και να διορθωθούν όλες οι εγκαταστάσεις που θα έχουν μείνει πίσω», πρόσθεσε.
Η τεχνητή νοημοσύνη βοηθά τόσο τους επιτιθέμενους όσο και τους αμυνόμενους
«Υπάρχουν καλά και κακά νέα σε αυτό», δήλωσε ο Σάλιβαν. Από τη μία, η τεχνητή νοημοσύνη μπορεί να βοηθήσει επιτιθέμενους να ανακαλύψουν νέες ευπάθειες. Από την άλλη, μπορεί επίσης να συμβάλει στον εντοπισμό και στη διόρθωσή τους.
Η μία ευπάθεια προκαλεί αλλοίωση της μνήμης του συστήματος, με αποτέλεσμα αυτό να μην μπορεί πλέον να διατηρεί σωστά ορισμένα δεδομένα. Έτσι, ένας δυνητικός επιτιθέμενος μπορεί να εκμεταλλευθεί το σύστημα χρησιμοποιώντας δικό του κώδικα.
Η δεύτερη ευπάθεια έχει ως αποτέλεσμα δεδομένα χρηστών να παραμένουν αποθηκευμένα στο σύστημα αντί να διαγράφονται. Αυτό ενδέχεται να επιτρέψει σε κακόβουλο δράστη να αποκτήσει πρόσβαση σε αυτά, μεταξύ άλλων για να τα κατεβάσει ή να τα διαγράψει, εξήγησε ο Σάλιβαν.
Ορισμένοι ιστότοποι ενδέχεται να παραμένουν εκτός λειτουργίας επειδή υπάρχουν διαφορετικές διορθώσεις για διαφορετικά είδη λογισμικού. Κάποιοι οργανισμοί μπορεί ακόμη να περιμένουν να τις λάβουν, ενώ χρειάζονται και δοκιμές για να διαπιστωθεί ότι λειτουργούν σωστά.
Ο βαν ντερ Βαλτ τόνισε, πάντως, ότι η αξιοποίηση της τεχνητής νοημοσύνης για τη διόρθωση ευπαθειών δεν λύνει από μόνη της το πρόβλημα. Οι επιτιθέμενοι μπορούν να εκμεταλλευθούν ένα κενό ασφαλείας, ενώ οι αμυνόμενοι πρέπει να το διορθώσουν. Η διόρθωση, όμως, πρέπει να είναι αξιόπιστη, δοκιμασμένη και εγκεκριμένη.
Σε ένα υποθετικό σενάριο, πρόσθεσε, μπορεί να υπάρχουν και δυσκολίες φυσικής πρόσβασης στη συσκευή όπου εκτελείται το λογισμικό, για παράδειγμα, σε έναν εμφυτευμένο βηματοδότη ή στο σύστημα ψυχαγωγίας επιβατών ενός αεροσκάφους.
«Η διόρθωση δεν είναι πάντοτε τόσο απλή όσο ο εντοπισμός του προβλήματος. Αυτή τη στιγμή, πιστεύω ότι βρισκόμαστε σε μια περίοδο κατά την οποία ο επιτιθέμενος αποκομίζει σαφώς μεγαλύτερο πλεονέκτημα από την τεχνητή νοημοσύνη σε σχέση με τον αμυνόμενο», δήλωσε.
Το PHP Foundation, στο οποίο συμμετέχουν προγραμματιστές που εργάζονται για την ασφάλεια της γλώσσας, ανακοίνωσε αργά την Τετάρτη ότι κυκλοφόρησε διορθώσεις για τις ευπάθειες, μαζί με οδηγίες ενημέρωσης των συστημάτων.
Ο Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια, ENISA, συνέστησε στους οργανισμούς «να αναλάβουν άμεση δράση» για την αντιμετώπισή τους.
Ωστόσο, «δεν πρέπει να το μετατρέψουμε σε ένα μελλοντολογικό σενάριο στο οποίο είμαστε όλοι καταδικασμένοι», υπογράμμισε ο Σάλιβαν.
Όπως εξήγησε, υπάρχουν πολλά «βασικά» μέτρα που μπορούν να λάβουν ιδιώτες και επιχειρήσεις για να προστατευθούν από τις περισσότερες απειλές: να εντοπίζουν τα συστήματα που θα μπορούσαν να παραβιαστούν, να εγκαθιστούν ενημερώσεις και διορθώσεις λογισμικού μόλις κυκλοφορούν και να χρησιμοποιούν έλεγχο ταυτότητας δύο παραγόντων.
Τι είναι η PHP;
Η PHP είναι μια γλώσσα προγραμματισμού ανοικτού κώδικα που εκτελείται σε διακομιστές ιστού. Ιστότοποι και εφαρμογές τη χρησιμοποιούν για να δημιουργούν δυναμικές σελίδες, να επεξεργάζονται αιτήματα και να αλληλεπιδρούν με βάσεις δεδομένων. Χρησιμοποιείται σε συστήματα διαχείρισης περιεχομένου και άλλες διαδικτυακές εφαρμογές, μεταξύ των οποίων το WordPress.
Η ευρεία χρήση της σημαίνει ότι ένα κενό ασφαλείας στην PHP μπορεί να επηρεάσει πολλά είδη διαδικτυακών υπηρεσιών. Σύμφωνα με εκτίμηση της W3Techs στις 21 Οκτωβρίου, η PHP χρησιμοποιούνταν στο 69,3% των ιστοτόπων των οποίων μπορούσε να αναγνωρίσει τη γλώσσα προγραμματισμού στην πλευρά του διακομιστή.
Αυτό δεν σημαίνει ότι όλοι αυτοί οι ιστότοποι είναι ευάλωτοι: η έκθεσή τους στον κίνδυνο εξαρτάται από την έκδοση της PHP και τη διαμόρφωση κάθε συστήματος.
Το Εθνικό Κέντρο Κυβερνοασφάλειας του Ηνωμένου Βασιλείου ανέφερε ότι οι ευπάθειες θα μπορούσαν να επιτρέψουν σε επιτιθέμενους να εκτελούν εντολές σε διακομιστές ιστού που χρησιμοποιούν επηρεαζόμενες εκδόσεις της PHP. Στις οδηγίες του συνέστησε στους οργανισμούς να εντοπίσουν τα συστήματα που χρησιμοποιούν PHP, να δώσουν προτεραιότητα σε όσα είναι εκτεθειμένα στο διαδίκτυο και να τα παρακολουθούν για κακόβουλη δραστηριότητα.
