Ang CEO ng Immunefi ay nagbabala sa pagkakaroon ng PHP flaw at mga panganib sa seguridad ng AI

Ang mga propesyonal sa cybersecurity ay nagtataas ng babala sa mga operator ng website—at lahat ng gumagamit ng mga serbisyo sa cryptocurrency sa web—na ituring ang mga vulnerabilities kaugnay ng PHP bilang aktibong panganib sa malapit na pagkakataon, kahit na ipinakalabas na ang mga emergency patch. Sabi ni Mitchell Amador, CEO ng Immunefi, maaaring magkakaroon ng ilang linggo ang ilang mas maliit na site bago mag-apply ng mga update nang mag-isa, na nagpapalalim sa pagkakasakop ng mga user nang higit pa kaysa sa oras na inihayag sa unang pagkakataon.

Ang babala ni Amador ay nangyari kaagad pagkatapos ng pagkilala ng PHP Foundation na nilinaw nila ang pagpapalit ng isang mahalagang kahinaan na unang nakita noong 2024, na nagbigay-daan sa kakulangan sa mga yunit. Habang ipinakalabas ang mga emergency patch para sa dalawang mahalagang vulnerabilities sa parehong araw, ang pananagutan ay nananatili sa mga indibidwal na website na i-upgrade ang kanilang mga instalasyon.

• Sinabi ni Immunefi CEO na si Mitchell Amador na dapat ipagpalagay ng mga user na anumang site kung saan sila mag-log in ay maaaring ma-compromise sa mga susunod na ilang linggo.
• Kahit may available na emergency PHP patches, kailangan pa ring i-upgrade ang mga website—maaaring magtagal ang mga mas maliit na operator ng ilang linggo.
• Inabigay ni Amador ang payo sa mga user na huwag gamitin muli ang mga password at maging mapanatag kapag nag-uugnay ng mga wallet ng cryptocurrency sa mga website.
• Kanyang inirerekomenda ang pagpapabawi ng mga pagpapahintulot sa token na hindi kilala ng mga user upang mabawasan ang epekto ng posibleng mapanlinlang na gawain.
• Ibinigay ng maraming partido ang mga ulat tungkol sa mabilis na pagpapakita ng pag-atake pagkatapos ng pampublikong paglalathala, kabilang ang mga ulat tungkol sa milyon-milyon na pagsubok sa loob ng 24 oras.

Isinama ni Amador ang sitwasyon bilang bahagi ng paulit-ulit na pattern sa modernong seguridad: mabilis makita ang mga vulnerabilities, ngunit mas mabagal at mas mahal ang pagpapabuti—lalo na para sa mahabang listahan ng mas maliit na web properties. “Ito ang vulnerability apocalypse” na tumatakbo ayon sa jadwal, ayon kay Amador sa Cointelegraph, na nagpapahiwatig na ang pagkakaiba sa panahon pagkatapos ng pagpapahayag at pagtanggap ng patch ay kung saan nangyayari ang tunay na pinsala.

Sa praktikal na mga termyo, ang kanyang payo ay nakatuon sa mga gumagamit na maaaring makipag-ugnayan sa mga website na hindi pa nag-upgrade ng kanilang mga bersyon ng PHP. “Sa mga sumusunod na ilang linggo, tratuhin ang anumang site kung saan ka mag-login bilang kung ito ay maaaring nangangalap na kompromitado,” sabi niya. Para sa mga gumagamit ng crypto, ang ibig sabihin nito ay mas mataas na pag-iingat sa pagkonekta ng wallet, kung saan ang mga masasamang website ay maaaring subukang manlinlang sa mga gumagamit upang pahintulutan ang mga pahintulot sa token o makipag-ugnayan sa mga masasamang kontrata.

Pinahalagahan ni Amador ang mga pangunahing pag-iingat sa kalusugan na maaaring mabawasan ang pinsala sa ibabaw kung nasira ang isang website, kabilang ang pag-iwas sa paggamit muli ng password at pagpapalabas ng mga pagpapahintulot sa token na hindi kilala.

Cointelegraph ay dating inulat na kilala ng PHP Foundation na nagpaliban sa pag-aayos ng isang kritikal na security flaw na unang natukoy noong 2024 dahil sa kakulangan sa mga mapagkukunan. Tinutukoy din ng parehong ulat na ang mga developer ay naglabas ng emergency patches para sa dalawang kritikal na vulnerability sa araw ng emergency release, ngunit hindi nila nalutas ang pangunahing isyu: kailangan pa ring i-update ng bawat website ang sariling environment.

Mahalaga ang pagkakaiba na ito para sa pagpapahalaga sa panganib. Hindi awtomatikong nagtatampok ang isang patch release sa agad na pagprotekta sa buong internet, at ang mga tagapagtanggol na nagmamaliw na ang “patched” ay nangangahulugan ng “lahat” ay maaaring mabawasan ang pag-unawa kung gaano kalawak ang pagpapalawig ng mga pagkakataon sa pagpapakaslang—lalo na para sa mga site na nakasalalay sa shared hosting o may mas kaunting cycle ng pag-update.

Kasaligan din sa dating balita mula sa Cointelegraph ang pahayag ni Amador na ang mga pagbabago sa landscape ng cybersecurity ay gumagawang mas mapanganib ang mga siklo na ito. Sa isang interbyu noong Hunyo, kinaugnay niya ang pagsasalarawan ng “vulnerability apocalypse” sa pagbabago ng kakayahan ng mga attacker at sa mas malawak na security race na maaaring magpalaligid sa landas mula sa pagkakatuklas hanggang sa pagpapakita, na nagdudulot ng mga mataas na pagkakataon tulad ng mga DeFi hack.

Ang pagkakaroon ng kahalagahan sa babala ni Amador ay suportado ng mga ulat tungkol sa mabilis na pagpapalaganap. Sinipi ng Cointelegraph si Matthew Prince, CEO ng Cloudflare, na nagsabi na nakita ng network ang “milyon-milyon na pagsubok sa pagpapalabas” sa loob ng 24 oras pagkatapos maipahayag ang mga vulnerability sa PHP, ayon sa isang X post noong Huwebes na isinasaad ni Prince. Tandaan niya rin ang libu-libong pagsubok bago ang pampublikong pagpapahayag.

Mahalaga ito dahil patuloy na malawak ang paggamit ng PHP. Ayon sa Cloudflare, isang sa bawat limang website sa buong mundo ang nagreroute ng trapiko sa pamamagitan ng infrastraktura ng Cloudflare, na sa tingin ng kumpanya ay tumutulong na protektahan ang mga user at pabilisin ang pagpapadala ng website. Samantala, hinuhulaan ng W3Techs na ang PHP ay nagpapagana ng halos 69% ng mga website na gumagamit ng kilalang server-side programming language, na nagpapakita ng malaking potensyal na epekto kung ang mga vulnerability ay nagbibigay-daan sa remote compromise, deployment ng malware, o malicious code injection.

Iminumungkahi ng Cyber Division ng FBI ang mga pag-aalala na ito. Sa isang post sa X noong Miyerkules, binigyan ng babala ng ahensya na ang mga kakulangan ay maaaring magbigay-daan sa mga masasamang aktor na “magsagawa ng code sa PHP core nang malayo,” na may potensyal na pagsira sa sensitibong data at network.

Ang pangunahing kakaibang pagkakaalam sa mga darating na araw ay hindi kung may mga patch o hindi, kundi kung gaano kalakas ang pag-upgrade ng mga site sa praktika. Ang gabay ni Amador ay epektibong humihingi sa mga gumagamit na pagbawasan ang pagkakaiba sa pamamagitan ng pag-asa na posibleng ma-compromise ang sistema—kahit na maliit lamang ang bahagi ng mga website na talagang vulnerable sa anumang ibinigay na sandali.

Para sa mga operator ng website, ang agad na prioridad ay ang pagpapanatili ng PHP na updated at ang pagtutuloy ng mga hosting environment sa mga pag-update na ito. Para sa mga gumagamit ng crypto, ang mga komento ni Amador ay nagmumungkahi ng pagiging konservatibo sa pagkonekta ng wallet: iwasan ang pagpapaligaya sa mga riskymat o hindi pamilyar na web page, at suriin ang mga pagpapahintulot sa token upang tanggalin ang anumang hindi malinaw na kailangan o kilala.

Dahil karaniwang tumataas ang mga kampanya ng pagpapalabas sa paligid ng pagpapahayag at tumutulo sa paglipas ng panahon habang lumalawak ang paggamit ng patch, ang susunod na tandaan para sa mga mambabasa ay ang bilis ng pagtatanggap ng pag-update ng PHP sa mga hosting provider at mga indibidwal na site—lalo na ang mga mas maliit na web property na maaaring magtagal sa pag-update at kaya ay mas malamang na manatili sa loob ng window ng eksposur.

Ito ay orihinal na napanood bilang Immunefi CEO: PHP flaw reinforces growing AI security risks sa Crypto Breaking News – ang inyong tiwalaang pinagkukunan ng balita sa cryptocurrency, balita tungkol sa Bitcoin, at mga update sa blockchain.