תתפסו חזק: שתי פרצות אבטחה קריטיות שהתגלו בשפת התכנות PHP גרמו הבוקר למהומה של ממש ברחבי אירופה. ממשלות שלמות בחרו לכבות אתרים ממשלתיים, רק כדי להיות בטוחות.
PHP היא השפה ש"רצה" מאחורי הקלעים של חלק עצום מהאינטרנט. וורדפרס, דרופל, מג'נטו ועוד אינספור אתרים נשענים עליה בלי שהגולש הרגיל בכלל ידע. ולפי נתוני חברת המחקר W3Techs, מדובר בלא פחות מ-69% מכלל אתרי האינטרנט בעולם.
פינלנד לא התעסקה בחצאי צעדים: היא השביתה את כל אתרי הממשלה והשירותים המקוונים לאזרחים. בהולנד ירדו אתרי ממשל ארציים ומקומיים, ובאופן אירוני במיוחד גם אתר הבית התחתון של הפרלמן, ואפילו אתר הסוכנות הלאומית לאבטחת סייבר עצמה הלך לא זמין.
בצרפת משרד הפנים הוריד זמנית את אתרי המשרדים המחוזיים, ובגרמניה ואוסטריה גם כמה אוניברסיטאות החליטו לנתק את עצמן מהרשת למען הזהירות. בבלגיה הלכו צעד נוסף: משרד החוץ הוריד את אתריו אחרי דיווחים על ניסיונות תקיפה בפועל.
בארצות הברית, הסוכנות לביטחון לאומי (NSA) פרסמה אזהרה ברורה: ארגונים שמשתמשים ב-PHP צריכים להיערך לעדכון דחוף. ההמלצה הייתה חד משמעית, אם אי אפשר לעדכן מיד, עדיף פשוט לכבות את המערכת עד שאפשר יהיה לטפל בבעיה.
גם בעולם הטכנולוגיה עצמו הורגשה הבהלה. סמנכ"ל הטכנולוגיה של קלאודפלייר, דיין קנכט, כתב ברשת שהחברה כבר מזהה "מתקפות ראשונות" שמנסות לנצל את הפרצות, ושהיא מעדכנת את חומות האש שלה כצעד זמני בלבד. "זה רק פתרון ביניים, יש לעדכן ברגע שהתיקון הרשמי יוצא", הוא הדגיש.
הפרצות עצמן לא נולדו אתמול. לפי הדיווחים, מדובר בבאגים שהסתתרו בקוד במשך שנים ארוכות, חוקר אבטחה אפילו סימן אזור בעייתי כבר לפני עשרות שנים, אבל זה נחשב למורכב מדי לניצול ופשוט נשכח. הפעם מי שחשף את הבעיה מחדש היה חוקר בחברת אבטחה בשם ראיין אוסטין, בעזרת כלי בינה מלאכותית מתקדם של OpenAI, שנעשה בו שימוש לבדיקת קוד.
גם חוקרי חברת וויז, שבבעלות גוגל, הגיעו לאותן תגליות באופן עצמאי. הממשל האמריקני קיבל עדכון רשמי על הבעיה כבר ב-16 באוקטובר, אבל פרטי הפרצות דלפו לרשת רק אתמול בערב, מה שהכריח את המפתחים להקדים את פרסום התיקון.
מפתחי PHP לא התמהמהו ושחררו עדכון חירום שמטרתו לסגור את שתי הפרצות. מהנדס אבטחה בקרן האחראית על פיתוח השפה אמר כי מדובר ב"איזון עדין" בין יידוע מהיר של מגיני המערכות לבין הסיכון שתוקפים יקבלו יותר מדי זמן לפתח דרכי ניצול.
בינתיים לא ברור עד כמה האקרים כבר מנצלים בפועל את הפרצות. הסוכנות האמריקנית להגנת סייבר ותשתיות (CISA) מסרה שלא זיהתה עדיין ניצול בשטח, אבל הזהירה שהסיכון ממשי לכל מי שלא יעדכן בהקדם. ראש ממשלת יפן אפילו פרסמה קריאה דחופה לכולם לפעול "עוד הלילה"
עוד מהדיווחים
לפי עדכון חברת PHP Foundation, שתי הפרצות דורגו בחומרה של 9.2 מתוך 10. אתר האנציקלופדיה ויקיפדיה הודיע שגם הוא השבית חלק ממערכותיו עד שיעודכנו כראוי.
למה זה חשוב
מאחר ש-PHP מריצה כ-69% מאתרי האינטרנט בעולם, הפרצה עלולה לפגוע גם בשירותים ואתרים שישראלים משתמשים בהם מדי יום, כולל אתרים מבוססי וורדפרס ודרופל. מי שמנהל אתר או שירות מקוון מבוסס PHP נדרש לבדוק דחוף אם בוצע העדכון, אחרת הוא חשוף לניסיונות פריצה.
כרגע הכדור נמצא אצל מנהלי האתרים בעולם. כל מי שמריץ מערכת מבוססת PHP מתבקש לבדוק דחוף אם היא עודכנה, ואם לא, לשקול להשבית אותה עד שהעדכון יושלם.
תגובות
רגע, שקט פה מדי
דעתך חשובה - תהיו הראשונים להגיב על הכתבה