Luka w PHP: AI pomogła znaleźć błąd zagrażający milionom stron

Poważna luka w PHP, jednym z najpopularniejszych języków programowania stron internetowych, wstrząsnęła branżą bezpieczeństwa. Badacze ogłosili ją 21 października. Do jej znalezienia użyli narzędzi sztucznej inteligencji (AI). Błędy mogły istnieć w kodzie od lat, a niektórzy eksperci szacują, że zagrożonych było nawet 70% wszystkich stron w internecie.

Branża nazywa ten moment „Czarnym Październikiem” (ang. Black October). Szefowie największych firm technologicznych mówią wprost, że wchodzimy w nową erę. AI pozwala szybko znajdować dziury w oprogramowaniu. Tak samo szybko mogą je jednak wykorzystywać przestępcy. „Nie sądzę już, że uda nam się załatać wszystkie błędy” – przyznał Sam Altman, szef OpenAI.

Co to znaczy dla Ciebie?

Jeśli tylko korzystasz z internetu, nie musisz niczego instalować. Łatki muszą wgrać właściciele stron i firmy hostingowe. Warto jednak zachować czujność, bo włamanie na serwer może oznaczać wyciek danych, które tam zostawiłeś.

• Masz własną stronę, sklep albo bloga? Sprawdź, czy działa na PHP. Jeśli tak, zaktualizuj PHP i oprogramowanie strony albo zapytaj o to firmę hostingową.
• Korzystasz z gotowych platform? Zwykle dostawca zrobi aktualizację sam, ale upewnij się, że to zrobił.
• Uważaj na podejrzane maile o „wycieku danych” lub „konieczności zmiany hasła”. Oszuści chętnie wykorzystują głośne afery.

Skala ataków jest ogromna. Według Matthew Prince’a, szefa firmy Cloudflare, w ciągu 10 godzin przed ogłoszeniem luki tysiące osób próbowały ją wykorzystać. Po 45 minutach od publikacji były to dziesiątki tysięcy prób, po dwóch godzinach setki tysięcy, a teraz już miliony. Amerykańska agencja NSA zaleciła, by każda strona na PHP natychmiast wgrała poprawki. W USA i Wielkiej Brytanii część stron rządowych i prywatnych na chwilę wyłączono, żeby je załatać.

Dlaczego eksperci biją na alarm?

Specjaliści od miesięcy ostrzegali, że AI ułatwi wyszukiwanie błędów w kodzie. Dopiero teraz udało się jednak znaleźć z jej pomocą lukę tak poważną. Badacze z firmy Wiz, która zajmuje się bezpieczeństwem, uznali ją za jedną z najgroźniejszych w historii PHP i być może całego oprogramowania. Ich zdaniem wykazanie, że błąd da się wykorzystać, wymagało tak skomplikowanego ciągu kroków, że ludzie ledwie mogliby to zrobić.

Dlatego nastroje są ponure. Jason Clinton z Anthropic zapowiada w najbliższych miesiącach prawdziwe tsunami luk i ostrzega, że nie starczy czasu na łatanie kluczowej infrastruktury. Marc Benioff z Salesforce mówi o „czerwonym alarmie”. Prince przewiduje, że najbliższe dwa lata będą bardzo trudne. Narzędzia AI mają bowiem nieskończoną cierpliwość. Mogą bez przerwy przeczesywać internet w poszukiwaniu słabych punktów. To jednocześnie szansa dla obrońców i ogromne zagrożenie, gdy z tych samych narzędzi skorzystają hakerzy.