Što se provjerava?

Tekst tvrdi da su otkrivena dva ozbiljna sigurnosna propusta u PHP-u, programskom jeziku koji se široko koristi za izradu internetskih stranica, da su ranjivosti istražene uz pomoć umjetne inteligencije te da su zbog njih pojedine državne institucije i organizacije privremeno isključile internetske usluge. Također navodi da su pokušaji iskorištavanja propusta zabilježeni prije javne objave sigurnosnih nadogradnji.

Za ocjenu je važno razlikovati postojanje sigurnosne ranjivosti, pokušaj napada, uspješnu kompromitaciju sustava i preventivno gašenje usluge. To su različite tvrdnje i jedna sama po sebi ne dokazuje ostale.

Što znači da PHP koristi velik dio interneta?

PHP je programski jezik koji se izvršava na poslužitelju i koristi se za izradu dinamičkih internetskih stranica i aplikacija. Njegova raširenost znači da ranjivost u određenoj komponenti može imati velik potencijalni doseg. Međutim, udio stranica koje koriste PHP nije isto što i udio stranica koje su ranjive na konkretan propust. To ovisi o verziji PHP-a, konfiguraciji, korištenim komponentama i dostupnim sigurnosnim zakrpama.

W3Techs objavljuje podatke o uporabi PHP-a među stranicama čiji je poslužiteljski programski jezik poznat: https://w3techs.com/technologies/details/pl-php. Ti podaci služe kao pokazatelj raširenosti tehnologije, a ne kao dokaz da je određeni broj stranica ranjiv ili napadnut. Stoga tvrdnju da se ranjivost potencijalno odnosi na širok krug sustava treba razumjeti uvjetno, a ne kao potvrdu masovne kompromitacije interneta.

Mogu li takvi propusti omogućiti preuzimanje servera?

Sigurnosni propusti u programskom jeziku ili njegovim komponentama mogu, ovisno o njihovoj prirodi i uvjetima iskorištavanja, omogućiti izvršavanje neovlaštenih naredbi ili otkrivanje podataka iz memorije. To može dovesti do krađe podataka, izmjene sadržaja ili drugih posljedica. Ipak, bez identifikacijskih oznaka konkretnih ranjivosti, službenih sigurnosnih obavijesti i tehničkih izvještaja nije moguće neovisno potvrditi svaki tehnički detalj iz članka, uključujući tvrdnju da su oba propusta omogućavala napad bez autentifikacije.

PHP-ov službeni arhiv sigurnosnih obavijesti nalazi se na adresi https://www.php.net/security. Službene obavijesti i zakrpe najvažniji su izvori za utvrđivanje pogođenih verzija, težine ranjivosti i preporučenih mjera. Bez navođenja konkretnih oznaka ranjivosti nije opravdano čitatelju predstavljati sve tehničke pojedinosti kao neovisno potvrđene činjenice.

Znači li privremeno gašenje stranica da su institucije hakirane?

Ne. Organizacija može isključiti uslugu kako bi smanjila rizik dok se ne instalira zakrpa ili provjeri sigurnost sustava. Takva odluka sama po sebi nije dokaz da su napadači ostvarili pristup podacima ili preuzeli kontrolu nad serverom. Isto tako, zabilježeni pokušaji napada ne dokazuju da su svi pokušaji bili uspješni.

Članak spominje institucije u Finskoj i Nizozemskoj, lokalne vlasti u Edinburghu i Oxfordu, dijelove BBC-jevih usluga te Zakladu Wikimedia. Međutim, bez izravnih obavijesti tih organizacija ili provjerljivih izvještaja koji precizno opisuju što je ugašeno i zašto, nije moguće potvrditi svaki pojedinačni slučaj samo na temelju zajedničkog medijskog prikaza. Za takve navode treba provjeriti izvorne objave uključenih organizacija.

Jesu li napadi počeli prije javne objave?

Tekst navodi da je Amazon Web Services 17. listopada uočio pokušaje iskorištavanja ranjivosti, prije javne objave sigurnosnih nadogradnji nekoliko dana poslije. Takva kronologija, ako je potvrđena izvornim izvještajem, značila bi da su neki napadači pokušavali iskoristiti propuste prije nego što je javnost bila upozorena. Ne bi, međutim, dokazivala da su svi ranjivi sustavi bili napadnuti ili da su napadi uspjeli. Za potvrdu datuma i opsega aktivnosti potrebno je konzultirati izvorni izvještaj AWS-a ili istraživača koji su analizirali napade.

Kolika je bila uloga umjetne inteligencije?

Umjetna inteligencija može pomoći sigurnosnim istraživačima u analizi izvornog koda, pronalaženju sumnjivih obrazaca i istraživanju načina na koje bi se greške mogle iskoristiti. Ipak, pronalazak ranjivosti uz pomoć AI-ja ne znači da je sustav samostalno proveo cijelo istraživanje niti da su rezultati potvrđeni bez ljudske provjere. Za precizno utvrđivanje doprinosa pojedinih modela potrebni su tehnički izvještaji istraživača i uključenih tvrtki.

Tvrtka Wiz objavljuje istraživanja o sigurnosnim ranjivostima i njihovoj analizi: https://www.wiz.io/blog. Taj izvor može poslužiti za provjeru izvornih tehničkih nalaza ako je objavljen odgovarajući izvještaj. Bez izravnog izvještaja koji povezuje konkretne modele s otkrićem nije opravdano precizno pripisivati zasluge pojedinim AI sustavima.

Jesu li obični korisnici automatski ugroženi?

Ne. Ranjivost na poslužitelju ne znači automatski da su uređaji posjetitelja stranice ili njihovi korisnički računi kompromitirani. Primarna odgovornost je na administratorima sustava i pružateljima usluga koji trebaju provjeriti pogođene verzije, instalirati sigurnosne nadogradnje i istražiti moguće znakove upada. Korisnici ne trebaju samostalno instalirati PHP zbog ovakve vijesti.

Zaključak

Osnovna poruka teksta — da ozbiljne softverske ranjivosti mogu zahtijevati hitne nadogradnje i preventivno isključivanje usluga — tehnički je vjerodostojna. Točno je i da široka uporaba neke tehnologije može povećati potencijalni doseg sigurnosnog problema. Međutim, iz dostavljenog sadržaja bez izravnih tehničkih i organizacijskih izvora nije moguće neovisno potvrditi sve pojedinosti o konkretnim ranjivostima, svim navedenim gašenjima, vremenu početka napada i preciznom doprinosu umjetne inteligencije. Nema osnove zaključiti da je velik dio interneta hakiran ili da su svi sustavi koji koriste PHP ugroženi.