Líders mundials adverteixen de fallades de seguretat trobades al llenguatge de programació PHP
Autoritats a Europa, Àsia i altres continents han desconnectat temporalment alguns llocs web governamentals per protegir-se de vulnerabilitats de seguretat recentment descobertes en un llenguatge de programació utilitzat per fer funcionar la gran majories de llocs d'internet.
Dimecres, les vulnerabilitats en el llenguatge de programació PHP van motivar una rara advertència pública de l'Agència de Seguretat Nacional dels Estats Units (NSA), que va recomanar posar els llocs web fora de línia si no es podien actualitzar immediatament.
“Amb efecte immediat, s'aconsella a totes les organitzacions que utilitzen PHP per als seus sistemes que estiguin preparades per a una actualització que abordi dues vulnerabilitats crítiques”, va dir la NSA en una publicació a les xarxes socials.
A Alemanya, el Ministeri Federal de Transformació Digital i Modernització Governamental va dir que va posar alguns llocs web fora de línia com a mesura preventiva. El Ministeri de l'Interior de França va desactivar els llocs web oficials de les oficines administratives locals.
Autoritats de Bèlgica, els Països Baixos, Finlàndia i la República Txeca també van dir que havien tancat llocs web per aplicar un pedaç de seguretat per tancar el buit legal de PHP. Fins i tot el primer ministre japonès, Sanae Takaichi, va publicar a les xarxes socials per advertir sobre el risc del PHP.
Experts en ciberseguretat van descobrir el parell de vulnerabilitats, batejades com a PHP2Shell, amb l'ajuda de models d'intel·ligència artificial (IA).
Investigadors de l'empresa de seguretat Calif, treballant amb OpenAI, van informar de la primera fallada l'11 d'agost. Wiz, una empresa de seguretat propietat del gegant tecnològic Alphabet, va informar de la segona vulnerabilitat el 24 d'agost.
Wiz va dir que les troballes “es troben entre les vulnerabilitats més greus descobertes en PHP, i possiblement de la història del programari”.
Les fallades subjacents feia dècades que eren presents, va dir l'empresa, però demostrar que eren explotables requeria una cadena de passos “al límit del que els investigadors humans podrien aconseguir pràcticament”.
Les eines d'IA permeten als investigadors trobar vulnerabilitats en el programari provant més atacs dels que els programadors humans poden fer sols.
Voluntaris mantenen el llenguatge de programació PHP, i la fundació sense ànim de lucre PHP Foundation va dir dimecres que les fallades eren de les més greus amb què s'havien trobat.
El grup va instar qualsevol persona que administrés un lloc web a actualitzar el seu codi immediatament.
Totes dues fallades es basen a accedir a parts de la memòria sense l'autorització adequada i a explotar aquest accés per executar codi maliciós. Els dos buits legals signifiquen que un atacant pot executar de manera remota ordres en un servidor que executa codi PHP antic a través d'internet, sense necessitat de contrasenya o accés a un compte legítim.
La Fundació PHP també va advertir que la IA faria que aquestes debilitats de seguretat fossin més fàcils de trobar. Va demanar a les empreses tecnològiques que muntoin una resposta coordinada per evitar interrupcions importants en els serveis en línia.
“Les eines ara troben errors més ràpidament que mai, tant per als defensors com per als atacants, i el nombre d'informes continuarà creixent”, va dir la fundació en un comunicat.
