Плата паводле рахункаў за 40 гадоў тэхнічнага доўгу: уразлівасць PHP паказала, як ШІ мяняе правілы кібервайны
У канцы кастрычніка выплыў цэлы шэраг сур’ёзных праблем у сферы кібербяспекі, але самай гучнай з іх стала ўразлівасць PHP2Shell. Пад пагрозай эксплойтаў апынуліся бясконцыя сайты, у тым ліку рэсурсы NASA, «Вікіпедыі», Белага дома і ўсе астатнія платформы, якія працуюць на WordPress або Drupal (сярод іншых). Зламыснікі патэнцыйна маглі атрымаць доступ да канфідэнцыяльных даных і запусціць шкоднасны код на хост-серверы.
У канцы кастрычніка выплыў цэлы шэраг сур’ёзных праблем у сферы кібербяспекі, але самай гучнай з іх стала ўразлівасць PHP2Shell. Пад пагрозай эксплойтаў апынуліся бясконцыя сайты, у тым ліку рэсурсы NASA, «Вікіпедыі», Белага дома і ўсе астатнія платформы, якія працуюць на WordPress або Drupal (сярод іншых). Зламыснікі патэнцыйна маглі атрымаць доступ да канфідэнцыяльных даных і запусціць шкоднасны код на хост-серверы.
Як адзначаюць у Інстытуце інжынераў электратэхнікі і электронікі (IEEE), пакуль катастрофы ўдалося пазбегнуць: уразлівасць выявілі ІБ-даследчыкі і паведамілі пра яе ў PHP Foundation, дзякуючы чаму патч выпусцілі да таго, як эксплойт трапіў у рукі зламыснікаў. Аднак PHP2Shell можа стаць трывожным папярэджаннем пра тое, што нас чакае ў эпоху ШІ.
«Усё састарэлае праграмнае забеспячэнне, напісанае людзьмі за апошнія 40 гадоў, пад ударам», — кажа кіраўнік даследаванняў ШІ-бяспекі ў кібербяз-стартапе Tolmo Мэт Сюіш. «Цяпер прыйшоў час плаціць па рахунках за тэхнічны доўг», — дадае ён.
Устарэлыя багі ў PHP і памылкі памяці
PHP быў створаны ў 1994 годзе і да гэтага часу шырока выкарыстоўваецца на старых сайтах. Баг, які ляжаў у аснове PHP2Shell, быў задакументаваны ў PHP Foundation яшчэ ў 2024 годзе. Праблема заключалася ў стандартнай памылцы нястачы памяці, калі аб’ём памяці, выдзелены пад фрагмент дадзеных, аказваецца занадта малым. Звычайна такія збоі папросту прыводзяць да падзення праграмы — непрыемнага, але небяспечнага выніку, таму на баг доўгі час не звярталі ўвагі.
«У любы момант часу ёсць куча баг-рэпортаў, якія чакаюць выпраўлення і прыводзяць толькі да збояў. Большасць людзей не ўспрымаюць іх сур’ёзна», — тлумачыць дацэнт кампутарных навук Калумбійскага ўніверсітэта Суман Яна.
Раней у гэтым годзе ІБ-фірма Calif правяла незалежны аўдыт PHP пры падтрымцы OpenAI. Усяго за два тыдні даследчыкі з дапамогай ШІ-інструментаў знайшлі спосаб выкарыстаць баг нястачы памяці для запуску адвольнага кода на серверы з мэтай усталёўкі шкоднасаў або крадзяжу крытычных дадзеных. Дробная памылка імгненна ператварылася ў крытычную ўразлівасць, і каманда Calif неадкладна апавясціла PHP Foundation.
PHP-апакаліпсіс: ужо мільёны спроб атак, пад пагрозай 70% сайтаў інтэрнэту
Паводле Яны, эксплуатацыя такога бага патрабуе выверанага пераходу да канкрэтнай ячэйкі памяці запушчанай праграмы і дакладнага перазапісу патрэбных бітаў для перахопу кантролю над сістэмай: «Гэта не тое каб ракетабудаванне. Папросту трэба шмат спецыфічных разважанняў, якія нудна рабіць. І, на мой погляд, ШІ выдатна з гэтым спраўляецца».
Яна не сцвярджае, што ШІ можа зрабіць усё самастойна. «Але ён вельмі моцна развіваецца: топ-0,1% экспертаў цяпер могуць рабіць значна больш працы, а тыя, хто знаходзіцца крыху ніжэй гэтага ўзроўню, таксама змогуць справляцца з задачамі без глыбокага разумення ўсіх тэхнічных дэталяў», — дадае ён.
ШІ-інструменты і фармальная верыфікацыя ў абароне
Пасля раскрыцця ўразлівасці камандзе з чатырох інжынераў спатрэбілася два месяцы на выпуск патча. Яна тлумачыць гэта фундаментальнай асіметрыяй: пры выпраўленні памылкі трэба закрыць усе вектары атакі і нічога не зламаць, што стварае каласальную нагрузку на абаронцаў адкрытага ПА.
Каб паспяваць за хакерамі, ён прапануе даваць распрацоўшчыкам доступ да перадавых ШІ-мадэляў і развіваць інструменты фармальнай верыфікацыі. Патч можа генеравацца LLM, пасля чаго іншая LLM генеруе матэматычны доказ яго карэктнасці, а фінальную праверку выконвае фармальная праграма (proof checker), бо моўныя мадэлі схільныя да галюцынацый.
Дацэнт Інстытута інфармацыйнай бяспекі Універсітэта Джонса Гопкінса Мэт’ю Грын настроены менш аптымістычна: «Ніхто не зоймецца сістэмным вырашэннем гэтай праблемы, пакуль не адбудзецца нешта сапраўды жудаснае». Ён лічыць, што PHP2Shell не была дастаткова маштабнай, і сур’ёзны інцыдэнт, які прымусіць выдзеліць фінансаванне, здарыцца бліжэй да пачатку 2027 года. А пакуль Грын раіць не зацягваць з базавай лічбавай гігіенай і ўсталёўваць абнаўленні, калі распрацоўшчыкі іх выдаюць. Яна таксама лічыць, што PHP2Shell — толькі пачатак: «Будзем спадзявацца, што белыя хакеры знойдуць уразлівасці першымі, як у гэты раз».
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.