Interneto kode aptikta rimta PHP spraga, dėl kurios įvairių šalių ministerijos, savivaldybės, bankai ir žiniasklaidos priemonės ėmė masiškai savo noru atjungti oficialias interneto svetaines. Pranešama apie dvi kritines spragas programavimo kalboje PHP (PHP2Shell) – pamatinėje technologijoje, kuria remiasi didžioji dalis pasaulinio interneto serverių infrastruktūros.
PHP spraga: durys be spynos
Norint suprasti kilusio nerimo mastą, bet kurio interneto resurso sandarą galima palyginti su gyvenamuoju namu: patrauklus puslapių dizainas atstoja fasadą ir apdailą, o serverio programinis kodas – nematomas laikančiąsias sienas ir pamatus. PHP kalba dešimtmečius tarnauja kaip standartinė plyta tokiems pamatams statyti. Aptiktos spragos tapo savotiškomis slaptomis atsarginėmis durimis be spynų tiesiog bazinėje konstrukcijoje. Per jas bet kuris piktavalis gali prasiskverbti į vidines serverių patalpas, perimti portalo valdymą, pasisavinti piliečių duomenų bazes ar net be administratoriaus slaptažodžio platinti melagingus pranešimus valstybės vardu.
Lenktynės su programišiais
Programavimo kalbos kūrėjai operatyviai parengė apsauginę pataisą ir spalio 21 d. popietę paskelbė atnaujintą kodo versiją. Vis dėlto sudėtingos infrastruktūros atnaujinimas – toli gražu ne akimirksniu atliekamas darbas: inžinieriams reikia laiko patikrinti pataisos suderinamumą su dešimtimis vidinių modulių, kad nebūtų pažeistos valstybinės duomenų bazės. Kol sistemų administratoriai ruošėsi diegti atnaujinimus, nusikalstamos grupuotės jau pradėjo automatiškai skenuoti tinklą ir laužtis į atvirus serverius.
Nematomas defektas
Pavojinga spraga galėjo metų metus likti nepastebėta giliai sisteminiuose atminties valdymo mechanizmuose: įprastai dirbant ši klaida nepasireikšdavo ir suveikdavo tik esant specifinėms, nestandartinėms užklausoms. Žiniatinklio technologijų istorijoje labiausiai niokojančios bazinės programinės įrangos spragos – nuo „Heartbleed“ kriptografinėje bibliotekoje „OpenSSL“ iki „Log4Shell“ ekosistemoje „Java“ – neretai būdavo aptinkamos praėjus 8–10 metų nuo lemtingo kodo fragmento sukūrimo. Pirmosios aliarmą paskelbė Europos institucijos, atsižvelgusios į kibernetinio saugumo tarnybos CERT-EU nurodymus bei dideles baudas už asmens duomenų nutekėjimą. Vietos valdžios institucijos dažnai naudoja pasenusią programinę įrangą, tad laikina portalų izoliacija nuo tinklo tapo vieninteliu patikimu būdu apsisaugoti iki bus įdiegtos pataisos.
Pasaulinis mastas
Už Europos ribų padėtis taip pat įtempta: pažeidžiamumas palietė sistemas visame pasaulyje – nuo JAV iki Japonijos ir Australijos. Jungtinių Valstijų kibernetinio saugumo tarnybos taip pat pareikalavo izoliuoti neapsaugotas platformas, tačiau nemažai komercinių milžinių JAV ir Azijoje išvengė visiško atjungimo pasitelkusios debesijos paslaugų teikėjus, tokius kaip „Cloudflare“ ir AWS, kurie operatyviai užblokavo programišių užklausas išoriniais filtrais. Visgi prevenciniai atskirų portalų ir vidinių valdymo sistemų išjungimai fiksuojami visuose žemynuose.
