Veštačka inteligencija našla rupe u PHP-u, neke starije od deset godina: Evropa gasi državne sajtove

Deo propusta stajao je u kodu PHP-a više od deset godina, pred očima programera, i niko nije prepoznao koliko su opasni. Trebala je veštačka inteligencija da ih pronađe. Sada vlade širom Evrope gase delove svojih sajtova, a Fondacija Vikimedija, koja vodi Vikipediju, isključila je niz pomoćnih servisa.

Većina ljudi za PHP nikada nije čula, ali ga svakodnevno koristi. Na njemu rade portali, onlajn prodavnice, državne stranice i sistemi kao WordPress, na kojem su izgrađeni milioni sajtova. Prema podacima koji se citiraju, skoro 70 odsto veb-stranica čiji je programski jezik poznat koristi PHP. To ne znači da je 70 odsto interneta hakovano. Znači da je problem u tehnologiji koja je svuda.

Propusti su opasni iz jednostavnog razloga: pod određenim uslovima napadač može da izvrši svoje komande na ranjivom serveru bez korisničkog imena i lozinke. To otvara put ka krađi osetljivih podataka i menjanju sadržaja sajta. Drugi propust može da otkrije delove podataka koje server čuva u memoriji.

Od Finske do Oksforda

Finska je preventivno isključila deo javnih internet-usluga, a slične mere preduzele su i institucije u Holandiji. U Velikoj Britaniji najmanje 32 vladine usluge i dalje su nedostupne, a još četiri rade sa poteškoćama. Privremeno su pali i sajtovi dela lokalnih vlasti, među kojima Edinburg i Oksford, kao i delovi onlajn-usluga BBC-ja. Britanske vlasti tvrde da ključne javne usluge nisu ugrožene. Gašenje ne znači da su ove institucije hakovane. To je mera predostrožnosti.

Gora vest je hronologija. Amazon Web Services je primetio pokušaje iskorišćavanja ranjivosti još 17. oktobra, četiri dana pre javnog objavljivanja bezbednosnih zakrpa. To znači da je neko znao za rupe pre nego što su saznali administratori. Koliko dugo je znao i da li je već uspeo negde da uđe, zasad niko ne može da potvrdi.

Mač sa dve oštrice

U otkrivanju su učestvovali stručnjaci iz više kompanija, uz pomoć modela veštačke inteligencije kompanija Google i OpenAI. To je dobra polovina priče. Loša je što alat koji braniocima pomaže da brže pronađu i zakrpe rupe isto toliko brzo pomaže i napadačima da ih iskoriste. Trka se više ne meri mesecima, već danima.

Obični korisnici koji samo surfuju nisu direktno ugroženi. Problem je na serverima, a zakrpe treba da instaliraju vlasnici sajtova i njihovi hosting-provajderi. Prava opasnost za građane su lažne poruke koje će pokušati da iskoriste strah da bi krale lozinke. Hrvatski nacionalni CERT već je izdao hitno upozorenje administratorima. Da li je neko u makedonskim institucijama već proverio svoje servere, i da li ćemo uopšte saznati ako nije?