Závažné bezpečnostné chyby v PHP ohrozujú weby po celom svete
V programovacom jazyku PHP, ktorý stojí v pozadí veľkej časti internetu, sa objavili vážne bezpečnostné chyby. Vývojári už vydali opravu a úrady po celom svete vyzývajú prevádzkovateľov webov, aby si ju čo najskôr nainštalovali.
PHP sa používa na tvorbu webov už od začiatku 21. storočia a dodnes patrí medzi najrozšírenejšie technológie na internete. Je súčasťou technického zázemia množstva služieb vrátane Wikipédie či systému WordPress, na ktorom fungujú milióny webových stránok. Používateľ pritom väčšinou vôbec netuší, že sa s PHP stretáva.
Na problémy upozornili výskumníci s pomocou umelej inteligencie
Na problémy upozornili výskumníci bezpečnostných spoločností Calif a Wiz s pomocou pokročilých nástrojov umelej inteligencie. Podľa spoločnosti Wiz ide o jedny z najzávažnejších zraniteľností, aké sa podarilo umelej inteligencii odhaliť.
Objavené chyby môžu útočníkovi za určitých podmienok umožniť dostať sa k webovému serveru bez toho, aby sa musel najskôr prihlásiť. Následne by mohol získať prístup k citlivým údajom alebo k databázam, ktoré sa za stránkou nachádzajú. Bezpečnostný výskumník Paul Spain upozornil, že potenciálny rozsah problému môže byť obrovský a zraniteľnosť môže zasiahnuť „milióny a milióny“ webových stránok.
Neznamená to však, že všetky tieto stránky boli napadnuté. Riziko sa týka predovšetkým systémov, ktoré používajú zraniteľné verzie PHP a ich prevádzkovatelia ich nestihnú aktualizovať.
Niektoré organizácie weby radšej vypli
Po zverejnení informácií o zraniteľnostiach začali reagovať organizácie v rôznych krajinách. Niektoré z nich svoje webové stránky dočasne odstavili, aby znížili riziko prípadného útoku.
Preventívne svoje systémy obmedzila napríklad Wikimedia, organizácia stojaca za Wikipédiou. Dočasne boli nedostupné aj niektoré stránky fínskej vlády, samosprávy v Edinburghu či švajčiarskej Ženevskej univerzity. Opatrenia prijali aj ďalšie verejné organizácie v Spojenom kráľovstve.
K preventívnym opatreniam sa pripojilo aj Slovensko, ktoré dočasne v stredu (21. 10.) večer odstavilo weby Ministerstva vnútra SR, Centrálneho registra zmlúv, Centrálneho registra projektov, mirri.gov.sk a eurofondy.gov.sk. Svoj web preventívne odstavila aj Železničná spoločnosť Slovensko.
Oprava už existuje, úrady varujú pred odkladom
Vývojári PHP už vydali aktualizácie, ktoré majú zraniteľnosti odstrániť. Prevádzkovateľov systémov zároveň vyzvali, aby ich nainštalovali bez zbytočného odkladu.
Výrazne reagovali aj štátne bezpečnostné úrady. Americká Národná bezpečnostná agentúra organizáciám odkázala, že ak nedokážu svoje systémy okamžite opraviť, mali by ich radšej dočasne odstaviť. Britské Národné centrum kybernetickej bezpečnosti zase upozornilo na potrebu preveriť, či sa útočníkom nepodarilo do napadnutých systémov dostať cez takzvané zadné dvierka.
Podobné varovania vydali aj bezpečnostné úrady v Európskej únii, Austrálii či Singapure. Japonská premiérka Sanae Takaičiová vyzvala prevádzkovateľov verejne dostupných webov, aby si overili, či používajú PHP, a v prípade problémov zvážili dočasné vypnutie stránky.
Nejde pritom iba o teoretické riziko. Americká technologická spoločnosť Amazon uviedla, že zaznamenala viacero pokusov o útok ešte pred verejným zverejnením informácií o zraniteľnosti. Zatiaľ nie je jasné, ako útočníci o probléme vedeli.
Pre bežných používateľov je dôležitá obozretnosť
Pre bežného používateľa z toho vyplýva najmä jedno: samotné používanie internetu ani webov postavených na PHP automaticky neznamená, že bol používateľ napadnutý. Hlavnú zodpovednosť teraz majú prevádzkovatelia stránok, ktorí musia svoje systémy aktualizovať.
Ľudia by však mali byť obozretní aj voči podvodným e-mailom či správam, ktoré môžu aktuálnu situáciu zneužiť. Odborníci upozorňujú najmä na phishingové kampane, ktoré sa môžu vydávať za bezpečnostné upozornenia a snažiť sa od používateľov vylákať heslá alebo iné citlivé údaje.
