מפתחי שפת התוכנה PHP, שעליה מבוססים עד 70% מאתרי האינטרנט בעולם, פרסמו היום (רביעי) עדכון חירום לתיקון שתי פרצות אבטחה קריטיות, שמאפשרות להאקרים להשתלט על כל מערכת שמריצה את התוכנה. פריצה כזו מאפשרת לגנוב מידע או לתקוף כל מי שגולש באתר שנפרץ.
את הפרצות איתרו חוקרי אבטחה בעזרת מודל AI, ומומחי סייבר במרוץ לתקן אותן לפני שהאקרים ינצלו אותן לתקיפות באמצעות שימוש ב-AI.
עוד לפני שפורסם התיקון, ממשלות באירופה החלו להשבת אתרים כצעד מקדים. ממשלת פינלנד הודיעה שהיא משביתה את כל אתרי הממשלה והשירותים המקוונים שהיא מעניקה לאזרחים, ובהולנד הורדו אתרי ממשל ארציים ומקומיים, ובהם אתר הבית התחתון של הפרלמנט ואפילו אתר הסוכנות הלאומית לאבטחת סייבר. בצרפת הוריד משרד הפנים זמנית את אתרי משרדי הממשל המחוזיים, ובגרמניה ובאוסטריה הורידו גם כמה אוניברסיטאות את אתריהן.
"פעלו עוד הלילה"
הסוכנות לביטחון לאומי של ארה"ב (NSA) ומרכז הסייבר הלאומי של בריטניה המליצו לארגונים שאינם יכולים לעדכן מיד להוריד את המערכות מהרשת עד לתיקון. ראש ממשלת יפן, סנאה טאקאיצ'י, כתבה ברשת X: "יש לנו בקשה דחופה מכולם: לפעול עוד הלילה".
בינתיים לא ברור אם האקרים כבר מנצלים את הפרצות. סמנכ"ל הטכנולוגיה של חברת אבטחת הסייבר קלאודפלייר כתב ברשת X שהחברה זיהתה "מתקפות ראשונות" שניסו לנצל את הפרצות, ומשרד החוץ הבלגי הוריד את אתריו בעקבות דיווחים על מתקפות כאלה. מנגד, הסוכנות האמריקנית להגנת סייבר ותשתיות (CISA) הודיעה שלא זיהתה ניצול של הפרצות, אך הזהירה שהן מסכנות ארגונים שלא יטמיעו את העדכון.
הדלפת מספרי הזיהוי הרשמיים
התיקון היה אמור להתפרסם רק מחר (חמישי), אבל אתמול (שלישי), בסביבות 18:00, דלפו לרשת מספרי הזיהוי הרשמיים של שתי הפרצות. לדברי מפתחי PHP, לא דלפו פרטים טכניים, אך ייתכן שדלפו גם הנחיות ההגנה שנשלחו מראש לכמה ספקי תשתיות קריטיות. בעקבות הדליפה החליטו המפתחים להקדים את פרסום התיקון, והזהירו כבר אתמול שעדכון קריטי בדרך. פולקר דוש, מהנדס אבטחה בקרן שאחראית על פיתוח PHP, אמר ל"וול סטריט ג'ורנל" שזה היה "איזון טוב, שמאפשר ליידע את המגינים בלי לתת לתוקפים יותר מדי זמן לפתח דרכי ניצול".
את הפרצות גילה באוגוסט ראיין אוסטין, חוקר בחברת האבטחה Calif, בעזרת אחד המודלים המתקדמים של OpenAI, במסגרת בדיקת קוד ש-OpenAI מימנה. לפי ה"וול סטריט ג'ורנל", הבאגים הסתתרו בקוד במשך שנים. חוקר אבטחה סימן את האזור כבעייתי כבר לפני עשרות שנים, אך הוא נחשב קשה מדי לניצול ונשכח.
"יש כאן בעיה רצינית"
"יש כאן בעיה רצינית", אמר מנכ"ל Calif, תאי דואונג, לדוש כשהתקשר אליו ב-11 באוגוסט. בהמשך גילו את הפרצות באופן עצמאי גם חוקרי חברת הסייבר וויז, שבבעלות גוגל, והממשל האמריקני עודכן עליהן ב-16 באוקטובר.
PHP היא שפת תכנות ותיקה שנולדה לפני כ-30 שנה. העובדה שבאג כזה דרמטי הסתתר בקוד במשך עשרות שנים ממחישה את אחת מנקודות החולשה הקריטיות של הרשת. חלק עצום מתשתיות האינטרנט שעליהן אנו סומכים נשען על קוד פתוח ישן. קוד זה מתוחזק לאורך השנים על ידי קהילות מפתחים וקרנות, לרוב ללא משאבי העתק (שיש לתאגידים)לטובת אבטחת מידע. השבריריות הזו כבר התגלתה בעבר עם פרצות היסטוריות כמו Log4j, אך כעת הדינמיקה משתנה.
מדובר בבאג קריטי שנמצא ברכיב קוד פתוח קטן, חינמי ופופולרי מאוד בשפת Java, שתפקידו היחיד היה לתעד פעולות ולשמור רשומות יומן בשרתים.
החומרה העצומה שלה נבעה מכך שהרכיב הבסיסי הזה היה מוטמע במיליוני מערכות ברחבי העולם - משירותי הענן של אמזון ואפל ועד למשחק "מיינקראפט". הפרצה אפשרה להאקרים להשתלט לחלוטין על שרתים מרחוק באמצעות שליחת שורת טקסט פשוטה בלבד, והפכה לסמל הקיצוני ביותר של אבטחת שרשרת אספקה: איך רכיב קוד ישן וזניח שמותקן בכל מקום יכול לסכן בין-לילה את כל תשתיות האינטרנט העולמיות.
הסכנה שמודלי בינה מלאכותית מביאים
האירוע הנוכחי מוכיח שהבינה המלאכותית לא רק מעצבת את עתיד הטכנולוגיה, אלא מבקרת את עברה. מודלים מתקדמים מסוגלים לצלול לתוך מיליוני שורות של קוד ישן ולזהות "רוחות רפאים" - חולשות אבטחה היסטוריות שנזנחו פשוט כי נחשבו למסובכות מדי לניצול עבור מוח אנושי. כעת, כשה-AI יכול לעזור להאקרים לכתוב גם את כלי התקיפה המורכבים ביותר, הקידוד הישן הופך לפצצה מתקתקת.
זה למעשה האות לפתיחתו של מרוץ חימוש מזווית חדשה: חברות הסייבר והממשלות שולחות כעת את הבינה המלאכותית לחפור ולנקות את "השלדים בארון" של תשתיות העבר, במירוץ נגד השעון להקדים את ההאקרים ששולחים את ה-AI שלהם בדיוק לאותה המטרה. מלחמת הסייבר של המחר תוכרע על ידי מי שיסרוק מהר יותר את הקוד של אתמול.
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו