Reuters: Vulnerabilităţi critice în PHP au determinat oprirea preventivă a unor site-uri guvernamentale din Europa

Site-uri guvernamentale din Europa au fost deconectate miercuri, în timp ce operatorii se grăbeau să remedieze două vulnerabilităţi critice în PHP, unul dintre cele mai utilizate limbaje de programare de pe web, potrivit Reuters. Dezvoltatorii PHP au declarat miercuri că vor lansa patch-uri pentru cele două vulnerabilităţi critice, iar oficialii de securitate cibernetică din UE au avertizat organizaţiile care nu pot aplica remedierile să scoată site-urile afectate offline.

Ce este PHP?

PHP este un limbaj de programare care rulează site-uri web şi funcţionează în culise, iar când un utilizator încarcă o pagină, serverul care rulează PHP asamblează conţinutul şi trimite pagina finalizată către browser. Este gratuit, open source şi întreţinut de voluntari, iar proprietarii de site-uri interacţionează rareori direct cu el. PHP rulează aproape 70% din toate site-urile web al căror limbaj de programare poate fi identificat, potrivit trackerului W3Techs, şi este motorul din spatele WordPress, software-ul care alimentează aproximativ 40% din toate site-urile web, precum bloguri, pagini de mici afaceri, portaluri guvernamentale, magazine online şi site-uri de ştiri.

Care sunt riscurile erorilor?

Cele două vulnerabilităţi sunt evaluate la 9,2 din 10 pe scala de severitate CVSS v4.0, un sistem standard de scoring al industriei, iar CERT-EU, echipa de răspuns în securitate cibernetică a Uniunii Europene, a declarat că această evaluare semnalează execuţia de cod la distanţă neautentificată, ceea ce înseamnă că un atacator poate rula comenzi pe un server vulnerabil, prin internet, fără parolă sau cont. O singură eroare în PHP deschide aceeaşi uşă pe milioane de servere simultan, iar cine exploatează eroarea controlează site-ul web, iar GoDaddy, un furnizor de găzduire web, a declarat că acest lucru ar putea însemna date furate, pagini defaced sau compromiterea completă a sistemului. Directorul de tehnologie al Cloudflare a declarat că atacurile timpurii sunt deja în curs de apariţie. Majoritatea site-urilor mici sunt de obicei administrate de proprietari fără personal de securitate, adesea pe găzduire partajată unde nu gestionează serverul şi s-ar putea să nu ştie cine actualizează PHP, iar Wordfence, un plugin de securitate pentru site-urile WordPress, a avertizat că actualizările automate obişnuite nu vor aplica această remediere, iar îndrumarea CERT-EU este să scoată site-urile afectate offline în loc să le lase expuse.

Cum a fost descoperită?

Cercetătorii de la firma de securitate Calif, lucrând cu OpenAI, au raportat prima eroare către PHP pe 11 august după ce au găsit-o cu modelul GPT-5.6 Sol al OpenAI, a declarat compania. Wiz, o firmă de securitate deţinută de Google, a găsit erorile independent şi a raportat o a doua pe 24 august, tot folosind modele AI. Wiz a declarat că descoperirile „se numără printre cele mai severe vulnerabilităţi descoperite în PHP şi, probabil, în istoria software-ului”, iar erorile subiacente au fost prezente timp de decenii, dar demonstrarea faptului că sunt exploatabile a necesitat un lanţ de paşi „la limita a ceea ce cercetătorii umani ar putea realiza practic”. Administraţia preşedintelui american Donald Trump a declarat că „urmăreşte şi coordonează cu agenţiile federale şi laboratoarele SI de top pentru a accelera lansarea remedierii”, referindu-se la numele preferat de Trump pentru inteligenţa artificială, şi a încadrat descoperirea ca dovadă că „Super Inteligenţa” americană întăreşte securitatea naţională.