Trečiadienį vyriausybinės institucijos ir įmonės įvairiose pasaulio šalyse skubiai išjungė interneto svetaines, kai buvo atskleistos dvi kritinės programavimo kalbos PHP saugumo spragos.
PHP naudojama daugelyje populiarių svetainių kūrimo platformų, todėl pažeidžiamumai gali paliesti itin platų tinklalapių spektrą – nuo elektroninių parduotuvių ir naujienų portalų iki valstybinių paslaugų sistemų.
DI aptiko spragas, galinčias paveikti didelę interneto dalį
Viena iš spragas nustačiusių kibernetinio saugumo bendrovių „Wiz“ teigė, kad PHP veikia maždaug 70 proc. pasaulio svetainių. Bendrovės vertinimu, tai yra „vienos rimčiausių“ kada nors PHP ir galbūt visoje programinės įrangos istorijoje aptiktų spragų.
JAV Nacionalinė saugumo agentūra (NSA) organizacijoms rekomendavo nedelsiant įdiegti saugumo pataisas arba nuo interneto atjungti pažeidžiamas sistemas.
Pasinaudoję šiomis spragomis, kibernetiniai užpuolikai galėtų be slaptažodžio perimti interneto serverių kontrolę.
„PHP Foundation“ saugumo inžinierius Volkeris Duschas leidiniui „The Wall Street Journal“ sakė, kad tai didžiausia PHP saugumo problema per daugiau nei dešimtmetį. Jis ją palygino su 2014 metais išplitusiu virusu „Heartbleed“, kuris tuomet paskatino visame pasaulyje skubiai diegti pataisas.
Spragos išaiškėjo tuo metu, kai sparčiai daugėja pranešimų apie programinės įrangos pažeidžiamumus, kuriuos padeda aptikti vis galingesni dirbtinio intelekto (DI) modeliai. Prognozuojama, kad 2026 metais nustatytų pažeidžiamumų skaičius gali būti beveik dvigubai didesnis nei praėjusių metų rekordas.
„PHP Foundation“, finansuojantis kalbos kūrėjus, savo tinklaraštyje paragino visus PHP naudojančius asmenis sistemą atnaujinti nedelsiant.
Saugumo bendrovė „Calif“ pažeidžiamumus aptiko rugpjūtį, atlikdama „OpenAI“ finansuotą PHP kodo auditą. Tam buvo naudojamas „OpenAI“ modelis „GPT-5.6 Sol“.
Po kelių savaičių spragas nepriklausomai aptiko ir „Google“ priklausanti „Wiz“, pasitelkusi DI modelius, tarp jų – „Google“ sukurtą „Gemini 4 Argon“ ir „GPT-5.6 Sol“.
„OpenAI“ socialiniame tinkle „X“ paskelbė, kad šią klaidą laiko viena reikšmingiausių pastarojo meto spragų. Bendrovė taip pat teigė, kad šis atvejis rodo naują etapą, kai DI gali aptikti saugumo klaidas, darančias poveikį visam internetui.
Atnaujinimus teks diegti „dažnai ir greitai“
Pensilvanijos universiteto Whartono verslo mokyklos profesorius Ethanas Mollickas, tyrinėjantis DI, teigė, kad įmonės nespėja diegti pataisų tokiu greičiu, kokio reikia siekiant apsisaugoti nuo DI valdomų kibernetinių atakų.
Savo įraše tinkle „X“ jis perspėjo, kad vartotojams teks priprasti prie būtinybės viską atnaujinti dažnai ir greitai.
Iš pradžių apie aptiktas spragas PHP kūrėjai buvo informuoti konfidencialiai, kol buvo rengiama saugumo pataisa.
Vis dėlto antradienį, likus vienai dienai iki oficialaus pataisos išleidimo, informacija apie pažeidžiamumus nutekėjo į internetą. Dėl to organizacijos turėjo skubiai išjungti savo svetaines.
Prancūzijos vidaus reikalų ministerija pranešė, kad Nacionalinės kibernetinio saugumo agentūros prašymu vietos valdžios institucijų svetainės, įskaitant Paryžiaus policijos portalą, nuo trečiadienio popietės buvo nepasiekiamos.
Nyderlandų visuomeninis transliuotojas NOS paskelbė, kad atsargumo sumetimais išjungta nacionalinė skaitmeninės tapatybės paslauga „DigiD“, Atstovų Rūmų svetainė ir nacionalinio kibernetinio saugumo centro puslapis.
Australijos visuomeninis transliuotojas ABC nurodė, kad šalies Signalų direktoratas patvirtino: tarp paveiktų institucijų svetainių buvo ir jo paties portalas cyber.gov.au.
