Trečiadienį vyriausybinės institucijos ir įmonės įvairiose pasaulio šalyse skubiai išjungė savo interneto svetaines, kai buvo atskleistos dvi kritinės PHP programavimo kalbos saugumo spragos.
PHP naudojama daugelyje populiarių svetainių kūrimo platformų, todėl pažeidžiamumai gali paveikti platų tinklalapių spektrą – nuo elektroninių parduotuvių ir naujienų portalų iki valstybinių paslaugų sistemų.
Spragas padėjo aptikti dirbtinis intelektas
Viena iš pažeidžiamumus nustačiusių kibernetinio saugumo bendrovių „Wiz“ teigė, kad PHP veikia apie 70 proc. pasaulio svetainių. Bendrovės vertinimu, tai yra „vienos rimčiausių, kada nors aptiktų PHP, ir ko gero visoje programinės įrangos istorijoje“ spragų.
JAV Nacionalinio saugumo agentūra (NSA) organizacijoms nurodė nedelsiant įdiegti saugumo pataisas arba atjungti pažeidžiamas sistemas nuo interneto. Pasinaudoję šiomis spragomis užpuolikai galėtų be slaptažodžio perimti interneto serverių kontrolę.
„PHP Foundation“ saugumo inžinierius Volkeris Duschas leidiniui „The Wall Street Journal“ sakė, kad tai rimčiausia PHP problema per daugiau nei dešimtmetį. Jis ją palygino su 2014 metais išplitusiu virusu „Heartbleed“, kuris paskatino visame pasaulyje skubiai diegti saugumo pataisas.
Pažeidžiamumai aptikti tuo metu, kai sparčiai daugėja pranešimų apie programinės įrangos saugumo klaidas, kurias padeda rasti vis galingesni dirbtinio intelekto (DI) modeliai. Skaičiuojama, kad 2026 metais nustatytų pažeidžiamumų skaičius gali būti beveik dvigubai didesnis nei praėjusių metų rekordas.
„PHP Foundation“, finansuojantis kalbos kūrėjus, savo tinklaraštyje paragino naudotojus nedelsiant atnaujinti sistemas.
Saugumo bendrovė „Calif“ šias spragas aptiko rugpjūtį, atlikdama „OpenAI“ finansuotą PHP kodo auditą. Tam buvo pasitelktas „OpenAI“ modelis „GPT-5.6 Sol“.
Po kelių savaičių spragas nepriklausomai nustatė ir „Google“ priklausanti „Wiz“. Bendrovė naudojo DI modelius, tarp jų – „Google“ sukurtą „Gemini 4 Argon“ ir „GPT-5.6 Sol“.
„OpenAI“ tinkle „X“ šią klaidą pavadino viena reikšmingiausių pastarojo meto spragų ir teigė, kad tai rodo naują etapą, kai DI gali aptikti saugumo klaidas, paveikiančias visą internetą.
Atnaujinimus teks diegti vis sparčiau
Pensilvanijos universiteto Whartono verslo mokyklos profesorius Ethanas Mollickas, tyrinėjantis DI, teigė, kad bendrovės nespėja diegti pataisų tokiu greičiu, kokio reikia siekiant apsisaugoti nuo DI valdomų kibernetinių atakų.
Jo teigimu, vartotojams teks dažnai ir greitai atnaujinti naudojamas sistemas.
Apie pažeidžiamumus iš pradžių konfidencialiai informuoti PHP kūrėjai, kol buvo rengiama saugumo pataisa. Vis dėlto informacija internete nutekėjo antradienį – likus vienai dienai iki oficialaus pataisos išleidimo. Dėl to svetaines teko skubiai atjungti.
Prancūzijos vidaus reikalų ministerija pranešė, kad Nacionalinės kibernetinio saugumo agentūros prašymu nuo trečiadienio popietės neveikė vietos valdžios institucijų svetainės, įskaitant Paryžiaus policijos portalą.
Nyderlandų visuomeninis transliuotojas NOS skelbė, kad atsargumo sumetimais buvo išjungta nacionalinė skaitmeninės tapatybės paslauga „DigiD“, Atstovų Rūmų svetainė ir nacionalinio kibernetinio saugumo centro puslapis.
Australijos visuomeninis transliuotojas ABC taip pat nurodė, kad šalies Signalų direktoratas patvirtino, jog tarp paveiktų institucijų svetainių buvo ir jo paties portalas cyber.gov.au.
