TOKIO/PEKIN/AMSTERDAM — Globalne firmy i rządy ruszyły w czwartek do łata krytycznych podatności w PHP — wieloletnim języku programowania, na którym opiera się duża część internetu — ponieważ dostawcy chmury zgłaszali skokowy wzrost prób włamań po publicznym ujawnieniu luk.

Alarmowa reakcja rozpoczęła się po tym, jak rządy w Europie i innych regionach profilaktycznie wyłączyły witryny w środę, a operatorzy stron gorączkowo zabezpieczali systemy działające na powszechnie używanym oprogramowaniu.

Wyłączenia usług bankowych, lotniczych, kolejowych, podatkowych i rządowych od Tokio do Helsinek okazały się jednym z najbardziej spektakularnych testów narzędzi, które utrzymują internet przy życiu, odsłaniając, jak głęboko rządy i firmy zależą od kodu, który niewiele osób w pełni rozumie.

„Od dawna, bardzo dawna nie widziałem czegoś takiego” — powiedział w czwartek prezes Microsoftu Satya Nadella podczas wydarzenia w Niemczech, dodając, że incydent podkreślił znaczenie tworzenia oprogramowania, które można bezpiecznie utrzymywać w miarę rosnącej złożoności systemów. „To był długi dzień i długa noc, wiem, dla wszystkich działów IT i bezpieczeństwa.”

PHP: Klucz do fundamentów internetu

Twórcy PHP — języka programowania na równi z HTML i Python — wydali w środę poprawki dla podatności, które przez lata czaiły się w oprogramowaniu, dopóki nie zostały wykryte z pomocą sztucznej inteligencji. Zaapelowali do użytkowników o „natychmiastową aktualizację”. Język ten działa na serwerach internetowych, generując dynamiczne strony i aplikacje, więc luka w jego rdzeniu może potencjalnie dotknąć każdą stronę lub usługę zbudowaną na nim.

Madeline Lawrence, współzałożycielka belgijskiej firmy cyberbezpieczeństwa Aikido Security, powiedziała, że szczegóły luk stały się publiczne, zanim poprawki były gotowe, a od tego czasu zgłaszano ataki.

„Firmy ścigają się w aktualizacjach z atakującymi, którzy mogą wykorzystać AI do eksploatacji luk. W tym cały wyścig” — powiedziała.

Gdy organizacje wdrażały poprawki i profilaktycznie wyłączały witryny, liczba prób włamań wzrosła do milionów — według firm usług chmurowych Cloudflare i Amazon.

„W 10 godzin przed publicznym ogłoszeniem widzieliśmy w sieci tysiące prób jego wykorzystania” — napisał prezes Cloudflare Matthew Prince w poście na X późnym wieczorem w środę. „W ciągu 45 minut po ogłoszeniu skoczyło to do dziesiątek tysięcy, w ciągu 2 godzin do setek tysięcy, a teraz liczymy miliony.”

Amazon również poinformował o szeroko zakrojonej eksploatacji. Eskalacja opisana przez Prince'a ilustruje okno czasowe, na które wskazywała Lawrence: między publicznym ujawnieniem a zakończeniem łatania systemy wciąż działające na podatnym kodzie pozostają wystawione na ataki.

Skutki od Japonii po Finlandię

Japońskie firmy, w tym dom maklerski Nomura, bank Mitsubishi UFJ Financial Group, linie lotnicze ANA i East Japan Railway, poinformowały w czwartek o tymczasowym wstrzymaniu części usług internetowych w ramach środków alarmowych.

Browar Asahi Group Holdings czasowo zawiesił niektóre witryny i systemy, prowadząc jednocześnie ocenę skutków dla bezpieczeństwa, a ubezpieczyciel Tokio Marine Holdings poinformował o zawieszeniu swojej grupowej witryny.

Japońskie Ministerstwo Finansów i Agencja Meteorologiczna częściowo wstrzymały usługi online w celu wdrożenia środków bezpieczeństwa, a Krajowa Agencja Podatkowa tymczasowo wyłączyła swoją usługę.

Profilaktyczne wyłączenia odzwierciedlają rosnące obawy Japonii o cyberbezpieczeństwo. Według danych TrendAI kraj ten odnotował w pierwszych dziewięciu miesiącach tego roku więcej incydentów cybernetycznych niż w całym ubiegłym roku.

W innym miejscu francuska grupa telekomunikacyjna Orange poinformowała o tymczasowym wstrzymaniu dostępu do niektórych witryn i aplikacji opartych na PHP w kilku spółkach zależnych jako środek ostrożności. Tencent Cloud, jeden z największych chińskich dostawców usług chmurowych, wezwał klientów do instalacji zaktualizowanych wersji PHP, ale nie zalecał powszechnego wyłączania witryn.

Fiński państwowy dostawca usług IT Valtori poinformował, że instalował poprawki zabezpieczeń PHP przez całą noc i stopniowo znosi blokady usług po wcześniejszym wyłączeniu publicznych serwisów rządowych.

„Przywracanie usług może zająć dni lub nawet tygodnie, ponieważ oprócz aktualizacji systemy muszą być starannie przetestowane” — powiedział w oświadczeniu dyrektor generalny Valtori Hannu Naumanen.

Valtori zaznaczył, że awarie nie zostały spowodowane wykorzystaniem podatności ani naruszeniem cybernetycznym, i że nie ma wiedzy o aktywnym wykorzystaniu luk.

Niektóre poprawki mogą zająć tygodnie

Kilka azjatyckich rządów nakazało w czwartek inspekcje cyberbezpieczeństwa związanego z podatnościami w PHP. Chińskie ministerstwo przemysłu wezwało organizacje i użytkowników do sprawdzenia systemów i aktualizacji do najnowszej bezpiecznej wersji PHP oraz zaleciło wzmocnienie monitoringu cyberbezpieczeństwa i — w razie potrzeby — zmianę kont, haseł i kluczy.

Korea Południowa podniosła poziom alertu cyberbezpieczeństwa w sektorze prywatnym i uruchomiła środki reagowania awaryjnego, powołując się na obawy o zwiększone ryzyko ataków hakerskich.

W Niemczech Felix Kuhlenkamp, szef ds. bezpieczeństwa w zrzeszeniu branży cyfrowej Bitkom, powiedział, że wielu większych operatorów przeprowadziło już aktualizacje, ale skomplikowane systemy IT i mniejsze organiz mogą potrzebować więcej czasu.

„Mogą prowadzić stronę na PHP, ale tak naprawdę nie przyglądają się jej zbyt uważnie” — powiedział. „Jeśli strona opiera się na starej wersji PHP, dla której nie ma poprawki zabezpieczeń, cały system musi zostać zaktualizowany.”

Dalej najjaśniejsze sygnały, jak rozwinie się ta sytuacja, będą dotyczyć tego, czy liczba prób wykorzystania utrzyma się na poziomach zgłaszanych przez dostawców chmury oraz jak szybko wstrzymane usługi wrócą po zakończeniu aktualizacji i testów.

— Reuters

Źródło: BusinessWorld