Жиддий киберхавфсизлик янгиланиши чиқарилиши ортидан бутун дунё бўйлаб веб-сайтлар фаолияти тўхтаб қолди
Интернетда кенг қўлланиладиган PHP дастурлаш тилидаги заифликлар сунъий интеллект томонидан шу пайтгача аниқланган энг муҳим камчиликлар сифатида таърифланди.
Муҳим киберхавфсизлик янгиланиши чиқарилганидан сўнг бутун дунё бўйлаб веб-сайтлар офлайн режимга ўтказилди.
Халқаро миқёсда ҳукуматлар ва агентликлар веб-сайтларни интернетнинг катта қисми ишлашини таъминлайдиган дастурлаш тилидаги иккита жиддий киберхавфсизлик заифлигини бартараф этишга чақирди.
Камчиликлар PHP дастурлаш тилида аниқланган ва тўғрилаш чораси чоршанба куни тушдан кейин чиқарилган.
Бир нечта киберхавфсизлик агентликлари тузатишларни тезда ўрнатолмаган ташкилотларга ўз сайтларини ёпишни кўриб чиқишни тавсия қилди, бу эса Финляндия ҳукумати, Эдинбург кенгаши ва BBC каби органларни саҳифаларни офлайн режимга ўтказишга ундади.
Заифликлар СИ (сунъий интеллект) томонидан аниқланган бўлиб, Wiz киберхавфсизлик компанияси уларни кибермаконни ўзгартираётган ушбу технология томонидан "илгари аниқланган энг жиддий заифликлар" деб таърифлади.
Финляндия ҳукуматнинг оммавий веб-хизматларини вақтинча ёпди, Нидерландия киберхавфсизлик агентлиги эса ушбу заифликлар сабабли ўз веб-сайтини офлайн режимга ўтказаётганини айтди.
"Ушбу заифликлар кўпинча сервернинг файл тизимига ёки маълумотлар базасига тўғридан-тўғри йўл очади", деб ёзди у.
Бу орада Оқ уй федерал агентликлар муаммони тузатишни тезлаштириш учун етакчи СИ лабораториялари билан ишлаётганини билдирди.
Япония Бош вазири Санаэ Такаити одамларни ўзларининг оммабоп веб-сайтлари PHP’да ишлаётганини текширишга чақирди.
Wikipedia онлайн энциклопедиясини бошқарадиган Wikimedia Foundation хавфсизликдаги камчиликлар билан шуғулланаётганини айтди.
"Хавфсизлик чораси сифатида улар хавфсиз тарзда тузатилмагунча бир қатор бошқа тизимларни ўчириб қўйдик", деди у.
Натижада, чоршанба куни баъзи одамлар Wikipedia’нинг айрим қисмларига кира олишмади.
Эдинбург кенгашининг веб-сайти, шунингдек, Doctor Who ва The Traitors каби бир нечта BBC дастурларининг онлайн саҳифалари ҳам фойдаланиш учун ёпилди.
Бошқа веб-сайтлар, жумладан DeviantArt санъат платформаси "техник хизмат кўрсатиш учун вақтинча ёпилганини" маълум қилди.
Заифликлар Calif ва Wiz фирмаларининг киберхавфсизлик тадқиқотчилари томонидан аниқланган.
Calif компанияси PHP Foundation билан биргаликда OpenAI томонидан ишга туширилган Patch the Planet дастурида иштирок этди.
Ушбу дастур орқали уларга веб-дастурлаш тилидаги камчиликларни қидириш ва тузатиш учун СИ компаниясининг илғор воситаларидан фойдаланиш имконияти берилди.
Қўшимча қилинишича, компаниянинг ички тадқиқотчиси ҳам ушбу муаммони бошқа фирмалар билан деярли бир вақтда аниқлаган.
Камчиликлар ўн йилдан ортиқ вақт давомида сезилмай келган. Август ойига келиб, илғор СИ воситаларидан бир неча ҳафта фойдаланилгач, улар аниқланди.
"Илғор моделлар ушбу жараённи амалий қилишда жуда муҳим бўлди, бу бизга бир неча соат ичида бир нечта иловалар бўйича ишлайдиган эксплоитларни ишлаб чиқиш ва мослаштириш имконини берди", деди Wiz ўз блогидаги постда.
У интернетнинг "тахминан 70 фоизи" таъсирланганини тахмин қилмоқда, гарчи BBC бу рақамни тасдиқлай олмаса-да.
PHP Foundation ўз кашфиётини шу ойнинг охирида дастурий таъминот ишлаб чиқувчилари одатда "патч" деб атайдиган муаммони пўла тузатиш билан бирга эълон қилишни режалаштирган бўлса-да, сешанба куни ижтимоий тармоқларда заифлик тафсилотлари сиздирилди.
Бу PHP Foundation’ни заифлик ва унинг жуда катта миқёси ҳақидаги эълонни шошилинч равишда чиқаришга мажбур қилди.
Нидерландия ҳукуматининг агентлиги бўлмиш Нидерландия Жамоат саломатлиги ва атроф-муҳит миллий институти ўз веб-сайтини ўчириб қўйди.
Худди шунингдек, мамлакат парламентининг қуйи палатаси бўлмиш Твееде Камер веб-сайтидан ҳам фойдаланиш имконсиз бўлиб қолди.
Буюк Британиянинг Миллий киберхавфсизлик маркази (NCSC) ИИ ва Австралиядаги ҳамкасблари билан биргаликда PHP фойдаланувчиларини тузатишларни қўллашга чақирди.
"Замедловсиз бартараф этишнинг имкони бўлмаган ҳолларда, ташкилотлар тизимни тўлиқ хавфсизлантирмагунча офлайн режимга ўтказишни кўриб чиқишлари керак", дейилади NCSC эслатмасида.
Япония миллий киберхавфсизлик офиси ва ИИ киберхавфсизлик мулозимлари ҳам шунга ўхшаш огоҳлантириш берди.
"PHP ҳамма жойда бор. У жимгина WordPress, Drupal, Joomla ва Magento сайтлари, умумий хостинг платформалари, бошқарув панеллари ва ҳатто ички тизимида PHP ишлатишини реклама қилмайдиган жуда кўплаб дастурий таъминотлар ишини таъминлайди", деди Huntress киберхавфсизлик компанияси.
Sophos Counter Threat Unit компаниясининг киберхавфсизлик бўйича мутахассиси Дон Смит BBC’га бу хакерлар учун "эҳтимол устувор нишон" бўлишини айтди.
Унинг айтишича, зудлик билан ҳал қилиниши керак бўлган вазифа фақат муаммони тузатиш учун патч ўрнатиш эмас, балки PHP ишлаётган ҳар бир ҳолатни аниқлаш ва бошқаришдир.
"PHP’дан фойдаланиш жуда кенг тарқалган, у оммавий веб-сайтлар, контентни бошқариш тизимлари, хостинг платформалари ва учинчи томон маҳсулотлари остида жойлашиши мумкин, баъзида ундан фойдаланаётган ташкилот учун бу ҳатто аниқ бўлмайди", деди у.
Унинг таъкидлашича, ташкилотлар ҳужумчи "аллақачон ўз ўрнини эгаллаб олган бўлиши мумкинлиги" белгиларини кузатиб боришлари жуда муҳимдир.
Европа Иттифоқининг Компьютер шошилинч жавоб бериш гуруҳи (CERT-EU) заифликларга берилган хавф баллари "аутентификациядан ўтмаган ҳолда кодни масофадан бажариш имкониятини кўрсатади" деди.
Бундай киберҳужум хакерларга зарарли дастурларни ўрнатиш ва веб-сайтларни ишдан чиқариш имконини бериши мумкин.
Cloudflare интернет инфратузилма фирмасининг бош технологик директори Дейн Кнехт шундай деди:
NCSC’нинг билдиришича, ташкилотлар янгиланишни ўрнатгандан сўнг, улар "учинчи томон дастурий таъминот етказиб берувчиларининг хавфсизлик янгиланишларини, жумладан PHP’ни ўз ичига олиши мумкин бўлган қурилмалар ва хизматларни узлуксиз кузатиб боришлари керак".
Дастурлаш тилининг қайси версиялари таъсирлангани ҳозирча аниқ эмас, аммо CERT-EU у 2004 йилда ишга туширилган PHP 5 ва ундан кейинги синовдан ўтган барча версияларга таъсир қилиши мумкинлигини айтди.
Бироқ, PHP Foundation янгиланишни фақат энг охирги версиялар учун чиқарди, PHP 8.1 ёки ундан эскироқ версиялардан фойдаланаётган одамларга янгиланиш тавсия этилади.
PHP веб-дастурлаш учун яратилган. У веб-сайтларга ташриф буюрганингизда кўрадиган нарсангизни яратиш учун серверларда қўлланилади.
Тўғри, ҳамма веб-сайтлар ҳам ундан фойдаланмайди, аммо у барибир интернетнинг катта қисми ишлашини таъминлайди.