כותרות הסייבר של הימים האחרונים מעוררות תחושת חוסר אונים. הרצון פשוט לנתק את כבל הרשת ולברוח. חוקרי אבטחה, שנעזרו בכלי בינה מלאכותית מתקדמים מבית OpenAI וגוגל, חשפו שרשרת חולשות אבטחה חמורות ורבות-שנים בשפת התכנות PHP - התשתית שעליה בנויים ופועלים כ-70% מכלל אתרי האינטרנט בעולם.
צמד הפגיעויות, שזכה לכינוי "PHP2Shell", מאפשר לתוקפים לשאוב מידע רגיש מבסיסי נתונים, להזריק קוד זדוני ולהשתלט מרחוק על שרתים. המשמעות עבור המשתמש הפשוט מטרידה במיוחד: אתר לגיטימי, מוכר ומהימן לחלוטין שבו אתם גולשים מדי יום, עלול להפוך ברגע אחד למלכודת שגונבת את פרטיכם - מבלי שתוכלו לדעת על כך מראש או להתגונן בזמן אמת.
חומרת המצב הובילה את סוכנות הגנת הסייבר והתשתיות של ארה"ב (CISA) לפרסם הנחיה חריגה וגורפת לכלל מנהלי האתרים: התקינו את טלאי האבטחה באופן מיידי, או נתקו לחלוטין את כלל המערכות מבוססות ה-PHP מהאינטרנט עד לעדכונן. אם נתקלתם בימים האחרונים באתרים המציגים הודעות "האתר תחת תחזוקה" או בפונקציות תשלום שהושבתו זמנית, זו בדיוק הסיבה.
מה זה PHP2Shell?
שפת PHP היא כמו מערכת הצינורות והחשמל שמאחורי הקירות ברוב הבתים באינטרנט. פרצת PHP2Shell מאפשרת להאקר להכניס "פקודת קסם" לתוך צינור המים של האתר, לקבל שליטה מלאה על המתגים בבית (הרצת פקודות Shell), ולפתוח את הכספת שבה שמורים פרטי הלקוחות.
האירוע מזכיר לרבים את "באג 2000" (Y2K). מדובר בתקלה מערכתית שעלולה לפגוע בכל גולש, אך למשתמש הקצה אין שום יכולת טכנית לתקן אותה בעצמו. ההבדל המרכזי? לקראת באג 2000 העולם התכונן במשך שנים; במקרה של PHP2Shell, המכה נחתה על התעשייה בהפתעה מוחלטת בתוך שעות.
עידן ה"וולנפוקליפסה"
הגילוי של PHP2Shell אינו מקרי. הוא מסמן את פתיחתו של עידן חדש שמומחי סייבר מכנים "Vulnpocalypse" (אפוקליפסת החולשות). מודלי AI ייעודיים לתכנות ולמחקר אבטחה מסוגלים כיום לסרוק מיליוני שורות קוד במהירות בלתי נתפסת, להצליב תרחישי תקיפה ולגלות חולשות מבניות שהסתתרו מתחת לאף של מתכנתים אנושיים במשך עשרות שנים. הבעיה הגדולה היא שאותם כלים בדיוק נגישים כיום גם להאקרים וארגוני פשיעה, שמחפשים פרצות כדי לנצל אותן טרם הפצת עדכוני אבטחה.
בנוסף, תופעת ה-"Vibe Coding" - כתיבת אפליקציות ואתרים בקצב מואץ באמצעות הנחיות טקסט קצרות למחוללי AI - מציפה את הרשת במוצרים חדשים הסובלים לעיתים מחורי אבטחה צועקים.
"דברים יהפכו להרבה יותר גרועים לפני שהם ישתפרו", מתריע אד סקודיס, נשיא מכון הסייבר הבינלאומי SANS. "הבינה המלאכותית מציפה אל פני השטח חולשות קיימות במהירות, בקנה מידה ובעוצמה שטרם נראו בעולם".
עם זאת, מומחים מציינים כי נקודת האור טמונה באותו מקום. אותם כלים שמאתרים את הפרצות הם אלו שמאפשרים כיום למפתחים לייצר טלאי אבטחה אוטומטיים במהירות שיא.
5 צעדים מיידיים להגנה על החשבונות שלכם
אמנם אינכם יכולים לתקן את שרתי האתרים שבהם אתם גולשים, אך ביכולתכם לוודא שפריצה לאתר בודד לא תהפוך לאסון שימוטט את כל חייכם הדיגיטליים. מדליין לורנס, מייסדת שותפה בחברת בדיקות האבטחה Aikido, מזהירה כי המידע שנגנב באתרים שנפרצו ישמש תוקפים ליצירת מתקפות פישינג והונאות מתוחכמות ומשכנעות בהרבה. מומחי האבטחה מדגישים את כללי הברזל שחובה ליישם כעת.
1. הפסיקו למחזר סיסמאות: הכלל החשוב ביותר. אם האקרים גונבים את מאגר המשתמשים מאתר קניות קטן שנבנה ב-PHP, הדבר הראשון שהם יעשו הוא לנסות את אותה כתובת מייל וסיסמה בחשבונות הג'ימייל, הבנק, הפייסבוק והאפל שלכם.
2. הפעילו אימות דו-שלבי: ודאו שכל חשבון מרכזי מוגן בקוד אימות נוסף (רצוי באפליקציית אותנטיקטור ולא ב-SMS). גם אם סיסמתכם נגנבה מאתר פרוץ, התוקף לא יוכל להיכנס לחשבונכם ללא המכשיר הפיזי שלכם.
3. עברו למנהל סיסמאות (או באנגלית: Password Manager): כלי חיוני שמייצר סיסמאות מורכבות ושונות לכל שירות, זוכר אותן עבורכם ומתריע אוטומטית אם סיסמה מסוימת דלפה או ממוחזרת.
4. אמצו מפתחות גישה (אנחנו מכירים אותם בשם Passkeys): במידה והשירות תומך בכך (כמו גוגל, אפל או מיקרוסופט), העדיפו שימוש ב-Passkey המבוסס על ביומטריה של המכשיר. מפתחות אלו חסינים לחלוטין לגניבה בעת פריצה לשרתי החברות.
5. גלו חשדנות יתרה להודעות חריגות: אל תלחצו על קישורים בהודעות SMS או מיילים המדווחים על "בעיה בחשבון" או "עסקה חשודה". היכנסו תמיד לשירות ישירות דרך האפליקציה או האתר הרשמי, ואם קיבלתם התרעה רשמית על דליפת מידע מספק שירות שבו אתם רשומים - עקבו בקפידה אחר הוראות האבטחה והחליפו את הסיסמה באופן מיידי.
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו