Atacatorii caută servere neprotejate în toată lumea, după oprirea unor site-uri în Germania

Cele două erori le permit infractorilor să ruleze de la distanță propriul cod pe un server, fără autentificare, și să preia controlul asupra unui site sau să copieze date din baza lui^1,2 . PHP stă la baza programului WordPress, cu care funcționează între 400 și 500 de milioane de site-uri, după estimările unor specialiști IT¹ . Dezvoltatorii PHP au publicat miercuri după-amiază versiuni corectate¹ . Pagube mari nu s-au văzut încă, a spus Thomas Caspers, vicepreședintele BSI, dar cine nu instalează actualizarea riscă să fie afectat în scurt timp¹ .

Matthew Prince, șeful companiei de securitate Cloudflare, a spus la postul britanic Sky News că infractorii au început să scaneze internetul imediat ce au apărut detaliile despre vulnerabilitate. În câteva ore, numărul încercărilor a crescut exponențial, iar acum se numără în milioane în toată lumea¹ . Potrivit evaluării Tagesschau, valul de atacuri automate va ține probabil săptămâni sau luni, iar pericolul poate fi considerat trecut abia când majoritatea firmelor de găzduire și a administratorilor de sisteme au instalat actualizările¹ .

Ministrul digitalizării, Karsten Wildberger, a spus că nu există indicii că site-urile și infrastructura statului federal ar fi afectate¹ . Aplicațiile bancare online folosesc alte componente și nu sunt afectate de aceste vulnerabilități, deși site-urile de prezentare ale unor bănci au fost oprite câteva ore; organizația germană a băncilor de economii spune că nu vede efecte până acum³ . Vulnerabilitatea poate fi însă și în interfața de administrare prin internet a unor routere, sisteme de supraveghere sau dispozitive de stocare în rețea, a avertizat Alexander Opel, de la firma de securitate ESET³ .

Detaliile au apărut înainte de remediere

Detaliile erorilor au devenit publice din greșeală, înainte ca dezvoltatorii să termine remedierea; potrivit Frankfurter Allgemeine, au ajuns pe un forum al programatorilor^2,5 . Felix Kuhlenkamp, expert în securitate la Bitkom, spune că vulnerabilitatea a devenit cunoscută pe la prânz, BSI a avertizat curând după aceea, iar actualizările au venit pe la ora 16, așa că atacatorii au avut avans² .

Cine a găsit erorile și cine a aflat primul

Două companii au descoperit erorile și au publicat actualizarea împreună cu echipa PHP, într-o procedură de dezvăluire coordonată, a spus Caspers¹ . Kuhlenkamp spune că rolul inteligenței artificiale nu e încă lămurit, deși folosirea ei ar fi plauzibilă² . Frankfurter Allgemeine scrie că, în iulie, o firmă de securitate plătită de OpenAI și compania însăși au rulat modelul ChatGPT pe codul PHP și au găsit, independent una de alta, o cale de atac⁵ . Firma de securitate Calif.io, care a lucrat cu OpenAI la un proiect de căutare cu inteligență artificială a unor lacune vechi, spune că cercetătorii au dovedit cu ajutorul inteligenței artificiale în august că un atacator poate prelua controlul unui server trimițându-i cereri uriașe³ .

OpenAI spune că a anunțat dezvoltatorii PHP pe 11 august, a coordonat remedierea și a informat guverne, între care cel american⁵ . Casa Albă susține că a aflat pe 16 octombrie; când a fost informată Germania, nu e clar⁵ . Frankfurter Allgemeine numără 14 ani de când există lacuna și spune că ea fusese observată într-un control din 2024, dar a rămas deschisă, pentru că dezvoltatorii nu găseau o cale de atac⁵ . Saarbrücker Zeitung precizează că specialiștii discută de peste 20 de ani problema de fond din gestionarea memoriei în PHP³ .

Cine răspunde pentru site-urile neprotejate

Manuel Atug, expert în securitate online, a spus la Deutschlandfunk că multe firme și autorități germane nu își asumă responsabilitatea, a comparat lacunele din securitatea economiei cu „o poartă de șură uriașă, larg deschisă”Originalul · de · sursa 4, Deutschlandfunk„riesig großes offenes Scheunentor” · www.deutschlandfunk.de ↗ și a cerut ca legea să fie aplicată în astfel de cazuri⁴ . Purtătorul de cuvânt al Chaos Computer Club, Neumann, a cerut ca operatorii de site-uri să răspundă pentru neglijență, mai ales când datele clienților sunt în pericol⁴ .

Paguba acestei lacune nu poate fi estimată serios acum, spune Kuhlenkamp, care dă ca reper pierderile economiei germane din atacuri informatice anul trecut: cel puțin 160,4 miliarde de euro² .