Internetul mondial depinde de o fundaţie cu un singur angajat permanent

Descoperirea celor două vulnerabilităţi critice din limbajul de programare PHP, care a declanşat o mobilizare globală pentru protejarea infrastructurii internetului, a scos la iveală o problemă structurală majoră: fundaţia care susţine dezvoltarea uneia dintre cele mai utilizate tehnologii web funcţionează cu resurse financiare extrem de limitate şi are un singur angajat cu normă întreagă, potrivit Reuters.

Deşi PHP stă la baza a până la 70% dintre site-urile de internet la nivel mondial, organizaţia nonprofit responsabilă de susţinerea dezvoltării sale dispune de o echipă restrânsă, formată în principal din colaboratori cu program parţial şi voluntari.

Elizabeth Barron, directorul executiv al PHP Foundation, a explicat, într-un interviu acordat vineri agenţiei Reuters, că este singura persoană angajată permanent în cadrul organizaţiei, care mai colaborează cu 14 contractori, majoritatea cu normă parţială. Membrii consiliului de conducere îşi desfăşoară activitatea în regim de voluntariat, fără remuneraţie, în timp ce finanţarea operaţiunilor provine din donaţii şi granturi.

Situaţia a devenit cu atât mai îngrijorătoare după identificarea, săptămâna trecută, a două breşe majore de securitate în PHP, limbaj de programare cu o istorie de aproximativ trei decenii, utilizat pe scară largă pentru dezvoltarea şi funcţionarea site-urilor şi aplicaţiilor web.

Descoperirea vulnerabilităţilor a determinat autorităţi, companii şi administratori de infrastructură digitală din întreaga lume să adopte măsuri urgente de protecţie, inclusiv actualizarea sistemelor informatice şi suspendarea temporară a unor servicii online.

Pentru investigarea problemelor de securitate şi coordonarea remedierilor, PHP Foundation colaborează cu cercetători independenţi şi companii tehnologice, printre care OpenAI şi firmele de securitate cibernetică Wiz şi Calif. Cooperarea a contribuit inclusiv la dezvoltarea şi distribuirea actualizărilor de securitate publicate miercuri.

În pofida amplorii incidentului, reprezentanţii fundaţiei susţin că nu există, până în prezent, dovezi care să confirme exploatarea cu succes a vulnerabilităţilor înainte de divulgarea publică a acestora sau compromiterea sistemelor care au instalat actualizările de securitate.

Declaraţiile vin în contextul în care compania Cloudflare a raportat milioane de tentative de atac informatic asociate vulnerabilităţilor recent descoperite.

Elizabeth Barron a precizat că organizaţia nu a primit informaţii suplimentare din partea OpenAI, Wiz sau Calif care să indice existenţa unor probleme de securitate pe sistemele deja actualizate.

Inteligenţa artificială joacă un rol contradictoriu în această situaţie. Pe de o parte, instrumentele AI au permis cercetătorilor să identifice vulnerabilităţi prezente în codul PHP de aproximativ un deceniu, demonstrând capacitatea noilor tehnologii de a accelera analiza şi detectarea problemelor de securitate.

Pe de altă parte, utilizarea tot mai extinsă a inteligenţei artificiale în programare generează presiuni suplimentare asupra echipelor responsabile de întreţinerea proiectelor software.

Potrivit directorului PHP Foundation, numărul modificărilor de cod propuse în cadrul proiectului este în prezent aproape dublu faţă de cel înregistrat în urmă cu un an, fără ca numărul dezvoltatorilor care contribuie la administrarea şi verificarea acestora să fi crescut într-un ritm similar.

Această evoluţie obligă echipele tehnice să analizeze un volum considerabil mai mare de modificări şi raportări privind posibile erori de programare, activităţi care necesită experienţă profesională şi intervenţie umană specializată, chiar dacă o parte din procesul de dezvoltare poate fi automatizată cu ajutorul inteligenţei artificiale.

Barron a subliniat că verificarea contribuţiilor externe şi a problemelor semnalate presupune un efort uman considerabil, ceea ce accentuează dezechilibrul dintre resursele disponibile şi volumul activităţilor necesare pentru menţinerea securităţii limbajului PHP.

Incidentul a evidenţiat, totodată, dependenţa extinsă a instituţiilor publice şi companiilor private de tehnologii software dezvoltate în regim open-source, a căror întreţinere este asigurată frecvent de organizaţii mici, finanţate prin contribuţii voluntare.

În opinia directorului PHP Foundation, evenimentele recente demonstrează cât de important a devenit PHP pentru funcţionarea infrastructurii digitale globale, dar şi cât de disproporţionate sunt resursele financiare alocate dezvoltării şi securizării sale în raport cu gradul de utilizare.

Barron consideră că această dependenţă extinsă de PHP confirmă faptul că fundaţia este grav subfinanţată, în condiţiile în care responsabilităţile sale au implicaţii directe asupra securităţii unei părţi semnificative a internetului.

• Atacurile cibernetice au sporit, în timp ce administratorii de site-uri se grăbesc să repare vulnerabilităţile

Avertismentele au declanşat o serie de măsuri preventive în Europa, Asia şi America de Nord. În Germania au fost suspendate mai multe site-uri guvernamentale, în Franţa au fost dezactivate temporar paginile prefecturilor, iar în Belgia, Olanda, Finlanda şi Cehia autorităţile au restricţionat accesul la diferite servicii publice online. În Olanda, măsurile au afectat inclusiv portaluri guvernamentale, site-ul Portului Rotterdam, paginile unor spitale şi ale unor organizaţii politice. Fundaţia Wikimedia şi Internet Archive au suspendat, la rândul lor, anumite servicii pentru implementarea actualizărilor de securitate, potrivit Reuters.

Conform sursei citate, efectele s-au extins şi asupra sectorului privat. Grupul francez de telecomunicaţii Orange a întrerupt temporar accesul la anumite aplicaţii şi site-uri, în timp ce în Japonia au fost afectate servicii online ale unor instituţii financiare, companii aeriene şi operatori feroviari, printre care Mitsubishi UFJ Financial Group, Nomura, ANA şi East Japan Railway. Ministerul japonez de Finanţe şi alte instituţii publice au adoptat măsuri similare. În paralel, China a cerut organizaţiilor să îşi verifice infrastructura informatică şi să instaleze actualizările disponibile, iar Coreea de Sud a ridicat nivelul de alertă cibernetică pentru sectorul privat.

Amploarea riscului a fost evidenţiată şi de creşterea rapidă a tentativelor de exploatare a vulnerabilităţilor. Matthew Prince, directorul general al Cloudflare, a declarat că infrastructura companiei a înregistrat mii de tentative în cele zece ore anterioare anunţului public, zeci de mii în primele 45 de minute după divulgare şi sute de mii în următoarele două ore. Ulterior, numărul tentativelor a ajuns la milioane. Aceste cifre reflectă încercări de exploatare detectate, nu milioane de atacuri reuşite sau sisteme compromise.

În ultimele zile, companiile şi instituţiile publice au continuat instalarea actualizărilor, însă experţii au avertizat că remedierea completă a problemelor ar putea dura zile sau chiar săptămâni, în special în cazul infrastructurilor complexe şi al sistemelor care utilizează versiuni mai vechi de PHP. Autorităţile finlandeze au început restabilirea treptată a serviciilor suspendate, subliniind că repunerea lor în funcţiune presupune nu doar instalarea actualizărilor, ci şi testarea atentă a sistemelor pentru prevenirea unor incidente suplimentare.

Evenimentele au readus în atenţie şi vulnerabilităţile structurale ale ecosistemului software open-source, de care depind numeroase instituţii şi companii la nivel mondial. Deşi PHP reprezintă o componentă esenţială a infrastructurii internetului, dezvoltarea şi întreţinerea sa sunt susţinute de o comunitate relativ restrânsă de programatori şi de resurse financiare limitate. Criza a evidenţiat astfel discrepanţa dintre importanţa economică şi strategică a tehnologiilor utilizate la scară globală şi capacitatea organizaţiilor care le întreţin de a răspunde rapid unor ameninţări informatice de amploare.