Súlyos kiberbiztonsági rést találtak az internet egyik alaptechnológiájában

Több mint egy évtizeden át észrevétlenek maradtak az internet működésének egyik fontos technológiai alapját érintő, súlyos biztonsági rések. A hibákat végül mesterséges intelligenciát (MI) alkalmazó kutatók azonosították, a felfedezés pedig nemzetközi kiberbiztonsági riadót váltott ki.

A sérülékenységek a PHP nevű programozási nyelvet érintik, amelyet a 2000-es évek óta világszerte használnak weboldalak és online szolgáltatások fejlesztésére. A kormányzatok és a kiberbiztonsági szervezetek versenyt futnak az idővel, hogy felmérjék a felfedezés következményeit, és megakadályozzák a hibák kihasználását. A weboldalak üzemeltetőit arra szólították fel, hogy haladéktalanul telepítsék a javításokat, vagy – ha erre nincs lehetőségük – fontolják meg rendszereik ideiglenes leállítását.

A sérülékenységeket feltáró vállalatok egyike, a Wiz kiberbiztonsági cég szerint ezek a hibák a mesterséges intelligencia segítségével valaha azonosított legsúlyosabb biztonsági problémák közé tartoznak. Az OpenAI, amelynek technológiáját a kutatás során felhasználták, a felfedezést az utóbbi időszak egyik legjelentősebb biztonsági incidensének nevezte.

Mi a probléma a PHP-val?

A PHP – a PHP: Hypertext Preprocessor rövidítése – neve sokaknak talán nem mond semmit, a technológiával azonban nap mint nap találkozhatnak az internetezők. Számos weboldal és online szolgáltatás működésében játszik fontos szerepet, köztük webáruházakban, a Wikipédián és a WordPressen alapuló honlapokon. Utóbbi az egyik legelterjedtebb tartalomkezelő rendszer, amelyre többek között blogok és vállalati weboldalak épülnek.

Amikor valaki megnyitja például a Wikipédiát, a PHP-kód gondoskodik arról, hogy a szükséges információk összegyűljenek, majd a böngészőben olvasható formában jelenjenek meg – magyarázta Paul Spain, a Gorilla Cyber Security vezérigazgatója.

A most feltárt hiba azonban lehetőséget teremthet arra, hogy a támadók hitelesítés nélkül átvegyék az irányítást az érintett webszerverek felett, és bizalmas adatokat szerezzenek meg. Ez azt jelenti, hogy a megfelelő védelemmel nem rendelkező rendszerek támadhatóvá válhatnak anélkül, hogy a támadónak előzetesen érvényes hozzáféréssel kellene rendelkeznie. Spain szerint a mesterséges intelligencia az ilyen támadások végrehajtását is gyorsabbá és egyszerűbbé teheti. Becslése szerint a sérülékenység „millió és millió” weboldalt érinthet.

Jill Slay, az Adelaide-i Egyetem kiberbiztonsági kutatója arra figyelmeztetett: katasztrofális következményekkel járhatna, ha hackerek vagy állami szereplők fegyverként használnák fel a hibát, és tömegesen férnének hozzá weboldalak bizalmas adataihoz.

Kormányzati és közszolgáltatási weboldalakat is leállítottak

A riasztás világszerte megzavarta az online szolgáltatásokat: a játékplatformoktól a kormányzati portálokon át az internetes fórumokig számos rendszer érintetté vált. A megelőző intézkedések között szerepelt a Wikipédiát működtető Wikimedia több rendszerének leállítása is. A finn kormányzat, az edinburgh-i önkormányzat és a BBC egyes weboldalait, illetve oldalait szintén elérhetetlenné tették. A holland kiberbiztonsági ügynökség ugyancsak levette saját weboldalát az internetről.

Skóciában több közintézmény, köztük önkormányzatok és egészségügyi szervezetek is a leállítás mellett döntöttek. A szakértők szerint különösen veszélyeztetettek lehetnek azok a weboldalak, amelyeket nem tartanak rendszeresen karban. Ez elsősorban a kisebb szervezetek számára jelenthet problémát, amelyeknek gyakran kevesebb pénzük és szakemberük jut a kiberbiztonságra.

Salil Kanhere, az ausztráliai UNSW Sydney kiberbiztonsági kutatója arra figyelmeztetett, hogy a következő hetekben várhatóan nőhet a sérülékenységek kihasználására irányuló kísérletek száma. Ennek egyik oka, hogy a technikai részletek nyilvánosságra kerültek, így a támadók könnyebben megérthetik, hogyan használhatják ki a hibákat.

Azonnali javítást sürgetnek a hatóságok

A PHP fejlesztői szerdán közzétették a sérülékenységek javítására szolgáló frissítéseket. A hibák a jelek szerint évek óta jelen voltak a szoftverben, mielőtt sikerült azonosítani őket. A fejlesztők minden PHP-felhasználót arra kértek, hogy haladéktalanul telepítse a frissítéseket. A figyelmeztetéshez világszerte hatóságok és kiberbiztonsági szervezetek csatlakoztak.

Az amerikai Nemzetbiztonsági Ügynökség (NSA) arra utasította a PHP-t használó szervezeteket, hogy amennyiben nem tudják azonnal telepíteni a javítást, állítsák le az érintett rendszereiket. Az ügynökség szerint a sérülékenység közvetlen utat nyithat a rendszerek adatbázisainak megtámadásához. „Ezek a kockázatok elég súlyosak ahhoz, hogy az Egyesült Államok kormányzati minisztériumainál és ügynökségeinél azonnali javításra legyen szükség” – közölte az NSA.

A brit Nemzeti Kiberbiztonsági Központ (NCSC) hasonló ajánlásokat fogalmazott meg, és arra is felszólította a szervezeteket, hogy ellenőrizzék, nem telepítettek-e a támadók hátsó kapukat a rendszereikbe. Ezek olyan rejtett hozzáférési lehetőségek, amelyekkel később is visszatérhetnek egy feltört rendszerbe.

Az Európai Unióban, Szingapúrban és Ausztráliában szintén figyelmeztetéseket adtak ki. Japán miniszterelnöke, Takaicsi Szanae arra kérte a lakosságot, hogy ellenőrizzék, a nyilvánosan elérhető weboldalaik PHP-t használnak-e.

„Sürgős kérésünk van mindenkihez: tegyenek lépéseket még ma este” – írta az X-en. Hozzátette: ha a javítás telepítése nem oldható meg gyorsan, a weboldalak ideiglenes felfüggesztése és más hasonló intézkedések hatékonyan csökkenthetik a kockázatot.

A technológiai vállalatok szintén igyekeznek megerősíteni rendszereik védelmét. Az Amazon közölte, hogy már a PHP-probléma nyilvánosságra kerülése előtti napokban több támadási kísérlet célpontja volt. Egyelőre nem tudni, hogy a potenciális támadók miként szerezhettek tudomást a sérülékenységről.

Hogyan találja meg a mesterséges intelligencia a biztonsági réseket?

A sérülékenységeket a Calif és a Wiz kiberbiztonsági cégek kutatói azonosították. Munkájuk során fejlett mesterségesintelligencia-eszközöket használtak, amelyek a programkód elemzésével a korábbi módszereknél, illetve az emberi vizsgálatnál gyorsabban képesek hibákat felderíteni.

„A modern szoftverek rendkívül összetettek, és egyes sérülékenységek éveken át észrevétlenek maradhatnak” – mondta Kanhere. Hozzátette: „Az alapul szolgáló programhibák nem újak voltak; az változott meg, hogy képesek lettünk megtalálni őket.” A felfedezés részletei a héten kiszivárogtak az internetre. Ez arra kényszerítette a PHP fejlesztőit, hogy a tervezettnél sürgetőbben hozzák nyilvánosságra a biztonsági problémát és annak kiterjedtségét.

Az OpenAI blogbejegyzésében azt írta: az eset megmutatja, hogy a mesterséges intelligencia nemcsak a biztonsági hibák feltárására alkalmas, hanem a támadóknak is segíthet abban, hogy gyorsan fejlesszenek ki támadóeszközöket és a sérülékenységeket kihasználó programokat. A ChatGPT fejlesztője azt is közölte, hogy olyan programot tett elérhetővé, amellyel ellenőrizhető a PHP-rendszerek biztonsága.

Ryan Ko, a Queenslandi Egyetem Kiberkutatási Központjának munkatársa szerint számos hasonló hiba a korábbi szoftverfejlesztési gyakorlatból ered. Sok rendszert elsősorban a működőképesség szem előtt tartásával építettek fel, és nem fordítottak kellő figyelmet a biztonságra.

A mostani eset így nem pusztán egy programozási hiba jelentőségére világít rá, hanem arra is, hogy a régebbi technológiákban rejlő, régóta meglévő kockázatok feltárásában egyre fontosabb szerepet kaphat a mesterséges intelligencia.

Mit tehetnek a weboldalak üzemeltetői és a felhasználók?

A legfontosabb teendő az érintett rendszerek frissítése: a weboldalak tulajdonosainak és üzemeltetőinek a PHP legújabb, javításokat tartalmazó verziójára kell átállniuk. Spain szerint a frissítés a legtöbb informatikai csapat számára viszonylag kis, rutinszerű beavatkozást jelent. Ez azonban nem jelenti azt, hogy minden esetben kockázat nélkül vagy azonnal elvégezhető: ha a javítás nem telepíthető rögtön, az üzemeltetőknek mérlegelniük kell az érintett szolgáltatások ideiglenes leállítását.

Az amerikai NSA arra kérte a szervezeteket, hogy a következő hetekben fokozott figyelemmel kövessék a szoftvergyártók biztonsági közleményeit és frissítéseit. Az ügynökség szerint kulcsfontosságú, hogy a szükséges javításokat időben telepítsék.

Kanhere hangsúlyozta: a felelősség elsősorban a weboldalak üzemeltetőit terheli, a felhasználóknak azonban szintén érdemes ébernek maradniuk. Kövessék az érintett szolgáltatások biztonsági tájékoztatóit, és ha például jelszócserére kérik őket, ellenőrizzék, hogy a kérés hiteles forrásból érkezik-e.

A kutató arra is figyelmeztetett, hogy a támadók a biztonsági incidens körüli figyelmet adathalász üzenetek terjesztésére használhatják fel. Az ilyen üzenetek megtévesztő linkekre kattintásra vagy személyes adatok megadására próbálhatják rávenni a címzetteket.

A PHP biztonsági hibáinak felfedezése tehát egyszerre jelent sürgős technikai feladatot és szélesebb tanulságot az internet működéséről: még a régóta használt, széles körben elterjedt technológiákban is maradhatnak olyan hibák, amelyeket csak új módszerekkel sikerül feltárni. A mesterséges intelligencia felgyorsíthatja ezt a folyamatot, de ugyanaz a képesség a támadók kezében is veszélyes eszközzé válhat.