El Regne Unit avalua l'impacte d'una fallada crítica de ciberseguretat en el llenguatge PHP

El govern del Regne Unit afirma que està treballant per identificar qualsevol possible exposició en els seus serveis en línia, després que s'hagin detectat fallades crítiques de ciberseguretat en el llenguatge de programació PHP, utilitzat en una part molt significativa dels llocs web del món.

Governments i algunes de les empreses més grans del món, inclosa Amazon, s'apressen a protegir els sistemes que utilitzen PHP abans que els pirates informàtics puguin explotar aquestes vulnerabilitats.

Les fallades van ser descobertes inicialment per una IA, i posteriorment els governs van instar tothom qui utilitza PHP a solucionar-les.

Amazon ha estat objecte de múltiples intents d'atac, que segons l'empresa van tenir lloc abans que s'aixequés l'embargament sobre l'avís. Va afegir que no està clar com els atacants coneixien les vulnerabilitats.

Un portaveu del govern del Regne Unit ha demanat a «totes les organitzacions, privades i públiques, grans i petites» que segueixin les indicacions per protegir els seus sistemes.

El Centre Nacional de Ciberseguretat del Regne Unit (NCSC), així com els seus homòlegs a la UE i Austràlia, van demanar prèviament a aquells que utilitzen PHP que apliquin les correccions.

«Quan la resolució immediata no sigui possible, les organitzacions haurien de considerar desactivar el sistema fins que es pugui mitigar completament», va indicar l'NCSC en un comunicat. , extern

PHP fa funcionar una gran quantitat de plataformes, incloses botigues en línia, la Viquipèdia i WordPress, el sistema de gestió de continguts que hi ha darrere de molts llocs web com ara blogs.

Quan es visita un lloc web com la Viquipèdia, PHP és el codi que recopila la informació necessària i la presenta de manera que es pugui llegir a la web.

El professor Alan Woodward, del Centre de Ciberseguretat de Surrey, va assenyalar que la fallada afecta uns 30 milions de llocs web.

A més de l'abast de la fallada, Woodward va explicar que la seva naturalesa fa que «un atacant pugui introduir el seu propi codi al servidor web, executar-lo i bàsicament fer el que vulgui».

«Poden robar dades, poden accedir a altres parts de la xarxa. Tot tipus de coses com aquestes, fins i tot instal·lar una porta del darrere per accedir-hi més endavant, així que és molt greu», va dir Woodward al programa Today de BBC Radio 4.

L'investigador en ciberseguretat Ryan Austin, que ha estat investigant la seguretat de PHP durant els últims 20 anys, va dir que va ser ell qui va descobrir la fallada en el llenguatge de programació.

Va dir al programa Today que era «la vulnerabilitat més greu que he trobat mai» i que «va començar amb una intuïció que no hauria pogut comprovar sense la IA».

Austin va descriure PHP com «un dels primers llenguatges web que van fer funcionar els inicis d'internet».

«És en molts llocs on no esperaries que fos i que bàsicament són molt centrals en com funciona internet en molts aspectes. És com totes les coses antigues que hi ha en una casa i que saps que la mantenen [en funcionament], però en les quals realment no penses», va dir l'investigador de PHP.

No obstant això, Austin va assenyalar que aquest incident no és necessàriament una mala notícia perquè ara les organitzacions «s'afanyaran a actualitzar PHP immediatament» si no ho han fet ja.

Escolteu l'entrevista del programa Today de BBC Radio 4 a Ryan Austin a les 08:10 BST a BBC Sounds

Amazon va anunciar dimecres que havia identificat un «intent d'explotació PHP2Shell» que va tenir lloc el 17 d'octubre.

En l'atac, una adreça d'internet anònima va intentar aprofitar febleses en un dels sistemes d'esquer o «honeypot» d'Amazon, segons va explicar el cap de seguretat de la companyia, CJ Moses.

L'ús d'una adreça IP anònima suggereix que l'activitat va ser duta a terme per un «agent d'amenaça», va afegir.

Tot i que la Fundació PHP tenia la intenció de publicar la seva troballa més endavant aquest mes juntament amb una solució completa per al problema, que els desenvolupadors de programari solen anomenar «un pedaç», dimarts es van filtrar detalls de la fallada a les xarxes socials.

En els atacs posteriors a Amazon registrats el 21 d'octubre, «les càrregues útils reals i les opcions a la infraestructura d'anonimització van variar, cosa que suggereix que es tractava de múltiples actors», va dir Moses.

Els atacs van tenir lloc després de la filtració, però abans que s'aixequés l'embargament sobre l'avís de PHP.

L'ús de la IA fa que «més actors puguin actuar en qüestió d'hores o fins i tot de minuts un cop es fan públics els detalls tècnics d'una vulnerabilitat», va afegir Moses.

L'incident de PHP ha «demostrat la rapidesa amb la qual la IA està canviant el nostre panorama de ciberseguretat», va declarar a la BBC Anna-Maria Arabia, directora executiva del Consell d'Estratègia de IA d'Austràlia, ja que «el que abans trigava mesos, com ara exposar una vulnerabilitat, ara triga dies».

Va advertir que les amenaces seran cada vegada més habituals a mesura que la tecnologia d'IA millori ràpidament. «No hi ha marxa enrere, en altres paraules», va dir.

Les fallades de PHP van passar desapercebudes durant almenys una dècada.

L'empresa de ciberseguretat Wiz ha estimat que «aproximadament el 70%» d'internet està afectat, tot i que la BBC no ha pogut verificar aquesta xifra de manera independent.

Els llocs web de diversos programes de la BBC, inclosos Doctor Who i The Traitors, estan actualment inaccessibles.

No han confirmat que hi hagi cap vincle amb PHP; BBC News s'hi ha posat en contacte per demanar comentaris.

L'Office for Budget Responsibility (OBR) va dir que havia seguit les indicacions de desconnectar el seu lloc web, «a causa de les febleses crítiques de seguretat que afecten PHP».

Els llocs web dels ajuntaments d'Edimburg i Oxford van quedar fora de línia dimecres, però ara tornen a estar accessibles.

Què és el PHP i per què ha provocat una mobilització global de ciberseguretat?

L'agència holandesa de ciberseguretat es va desconnectar per precaució, i el govern de Finlàndia va tancar els seus serveis web públics. La Viquipèdia també va retirar seccions del seu lloc web.

Això va seguir les recomanacions emeses per diversos governs, inclosos els EUA, de retirar els llocs web si les fallades no es podien corregir immediatament.

L'Agència de Seguretat Nacional dels EUA (NSA) va afirmar que les vulnerabilitats identificades «ofereixen sovint un accés directe al sistema de fitxers o a la base de dades del servidor».

Això podria permetre als atacants «robar dades sensibles, interrompre serveis o endinsar-se més en una xarxa. Aquestes vulnerabilitats són fallades del mateix PHP, no pas de l'aplicació allotjada ni de la seva configuració», va dir l'NSA en una actualització posterior.

OpenAI va qualificar la troballa com «un dels problemes de seguretat més importants de la història recent».

Desconnectats llocs web de tot el món mentre s'emet una actualització crítica de ciberseguretat

Rebeu el nostre butlletí principal amb tots els titulars necessaris per començar el dia. Subscriviu-vos-hi ací.