Americká agentura pro kybernetickou bezpečnost (CISA) nedávno potvrdila, že útočníci aktivně zneužívají dvojici závažných bezpečnostních zranitelností v široce používaném webovém softwaru PHP. V reakci na tuto hrozbu CISA vydala naléhavý pokyn civilním federálním agenturám v USA, aby své systémy opravily během následujících tří dnů.
Toto urgentní varování přišlo necelý týden poté, co tvůrci programovacího jazyka PHP, který je s námi již desítky let, vydali záplaty pro zmíněné chyby. Tyto zranitelnosti umožňují útočníkům vzdáleně proniknout do zranitelných systémů přes internet, a to bez nutnosti znalosti uživatelského jména či hesla. Vzhledem k tomu, že software PHP je údajně využíván přibližně 70 % serverů s veřejným přístupem, představuje tato situace významné riziko pro mnoho webových stránek a aplikací.
Máte nápad na web nebo aplikaci?
Proberme ho spolu — nezávazně, bez tlaku a s konkrétním doporučením dalšího kroku.
Přestože byly tyto chyby klasifikovány jako kritické, což znamená, že mohou mít velmi vážné dopady v případě zneužití, bezpečnostní výzkumníci původně uváděli, že vývoj funkčního exploitu pro napadení systémů je náročný, byť nikoli nemožný. Potvrzené aktivní zneužívání v reálném světě však nyní klade mimořádný tlak na organizace, aby neprodleně aplikovaly záplaty a předešly tak potenciálním kompromitacím, narušení provozu a únikům dat.
CISA ve svém prohlášení sice neposkytla podrobnosti o tom, kdo konkrétně tyto chyby zneužívá, avšak její varování přichází krátce poté, co bezpečnostní výzkumníci oznámili důkazy o aktivním zneužívání zranitelností v PHP. Chyby, známé jako PHP2Shell, spočívají ve zranitelnostech, které zůstaly neodhaleny po mnoho let. Původně byly objeveny před dvěma lety, nicméně nezisková nadace udržující software tehdy uvedla, že neexistuje praktický způsob, jak by je útočníci mohli zneužít, a proto zůstaly bez záplaty. To se změnilo až začátkem letošního roku, kdy výzkumníci z bezpečnostní firmy Calif objevili způsob, jak tyto dvě dříve „spící“ zranitelnosti zneužít, s asistencí modelů umělé inteligence.
Tyto dvě chyby v PHP jsou příkladem mnoha zranitelností, které buď dosud nebyly objeveny, nebo byly po léta považovány za méně prioritní, ale nyní představují zvýšené riziko díky pokrokům v schopnostech umělé inteligence odhalovat a zneužívat slabiny, včetně řetězení více nedostatků. PHP je jednou z mnoha starších webových technologií, které pomáhají udržovat internet a moderní technologie v chodu, ale které po léta trpěly nedostatečnou podporou a financováním. To ztěžuje open-source projektům, jako je PHP, platit za bezpečnostní audity, které by mohly odhalit slabiny dříve.