FTB ragina nedelsiant taisyti dirbtinio intelekto aptiktas PHP spragas

Vyriausybės ir įmonės visą savaitę skyrė dviejų kritinių spragų taisymui PHP programavimo kalboje, kuri naudojama iki 70 proc. visų interneto svetainių. Tyrėjai spragas aptiko naudodami dirbtinį intelektą, o bandymų jomis pasinaudoti skaičius smarkiai išaugo, kai informacija apie jas nutekėjo internete. Kai kurie kibernetinio saugumo specialistai šį laikotarpį ėmė vadinti „Juoduoju spaliu“, praneša CNBC.cnbc.com

Šios klaidos žinomos kaip CVE-2026-109618 ir CVE-2026-109619, bendrai vadinamos „PHP2Shell“. Jos leidžia užpuolikams vykdyti kodą serveryje neprisijungus. PHP spalio 21 d. išleido pataisas 8.2–8.5 versijoms, praneša Newsweek. Penktadienį išplatintame pranešime FTB nurodė, kad „saugumo naujiniai yra prieinami ir turi būti įdiegti nedelsiant“.time.com+1

Įspėjimai ir sutrikimai

NSA, FTB ir CISA trečiadienį paragino organizacijas nedelsiant įdiegti pataisas, o jei tai neįmanoma – atjungti sistemas nuo tinklo, praneša Nextgov. „Šios spragos dažnai suteikia tiesioginį kelią į serverio failų sistemą ar duomenų bazę“, – rašė NSA, remiantis The Hill.nextgov.com+1

AP praneša, kad vyriausybių svetainės Didžiojoje Britanijoje, Suomijoje ir Japonijoje patyrė sutrikimų arba teikė ribotas paslaugas, kol vyko taisymo darbai. Niujorke Brumo apygarda penktadienį išjungė savo svetainę „dėl didesnio atsargumo“. Apygardos vadovas Jasonas Garnaras nepasakė, kada ji vėl veiks, praneša WSKG.wskg.org+1

Kaip buvo rastos spragos

„Wiz“ yra saugumo įmonė, priklausanti „Google Alphabet Inc.“ ↘ 1.08%. Rugpjūčio mėnesį „Wiz“ tyrėjas Sagis Tzadik paprašė dirbtinio intelekto agento pritaikyti „WordPress“ spragą „Drupal“ sistemai. Agentui ši užduotis nepavyko, tačiau jis aptiko PHP spragą, kuri liko nepastebėta daugiau nei dešimtmetį, praneša TIME. Atskirai įmonė „Calif“, bendradarbiaudama su „OpenAI“, rado susijusią klaidą. Tuomet apie 15 žmonių grupė kartu dirbo prie pataisos.time.com

Žinia apie spragas pasklido likus dviem dienoms iki planuotos pataisos išleidimo datos, todėl PHP prižiūrėtojai pataisą išleido diena anksčiau. Po kelių valandų „Calif“ per klaidą paskelbė savo atakos vaizdo įrašą. „Cloudflare“ ↗ 7.29% per 45 minutes nuo viešo pranešimo užfiksavo dešimtis tūkstančių bandymų pasinaudoti spraga, o vėliau – milijonus, teigia TIME. PHP fondas nurodė, kad problema buvo žinoma bent nuo 2024 m. ir pavadino vėlavimą „struktūrine nesėkme“, praneša AP.apnews.com+1

Patarimai vartotojams

Ekspertai teigia, kad didžioji dalis darbo tenka svetaines valdančioms įmonėms, tačiau privatūs asmenys taip pat gali apsisaugoti. Danas Guido iš „Trail of Bits“ rekomendavo žmonėms „įjungti automatinius naujinius savo telefone, kompiuteryje ir namų maršrutizatoriuje“. Kiti patarė naudoti kelių veiksnių autentifikavimą ir skirtingus slaptažodžius kiekvienai svetainei, praneša Samaa TV. „Jūs negalite patys pataisyti savo ligoninės svetainės“, – sakė Guido.samaa.tv

Buvęs CISA direktorius Chrisas Krebsas paragino mažesnes įmones „nuolat“ tikrinti, ar nėra spragų, ir kuo greičiau diegti pataisas. „Tai svarbi savaitė ar dvi kibernetiniam saugumui“, – sakė jis CNBC.cnbc.com