Napatunayan ng American cybersecurity agency na si CISA na aktibong pinaglalabanan ng mga hacker ang dalawang malubhang security vulnerability sa napakalawak na ginagamit na PHP web software, at pinag-uutosan ang mga sibil na pederal na ahensya sa loob ng pamahalaan ng Estados Unidos na ayusin ang kanilang mga sistema sa loob ng mga sumusunod na tatlong araw.
Isinagawa ng tagapangalaga ng matagal nang PHP Web programming language ang pagpapalit para sa dalawang butas na ito isang linggo bago ang pagsabog ng emergency patch alert. Ang mga butas na ito ay nagpapahintulot sa mga hacker na makapasok sa mga vulnerable na sistema nang paalalay sa internet nang walang password. Ayon sa mga ulat, ginagamit ng halos 70% ng mga web-based server ang PHP software, na nagpapakita ng malaking panganib sa maraming website at app. Dahil sa mataas na antas ng gravidad ng mga butas, ilang ahensya ng gobyerno at malalaking kumpanya ay inalis ang kanilang website upang maisagawa ang pagpapalit.
Bagaman ang mga butas na ito ay inihalintulad bilang “seriyoso,” na nangangahulugan na maaaring magdulot ng malaking pinsala kung gagamitin, sinabi ng mga researcher sa seguridad na ang pagbuo ng isang gumagana at epektibong pag-atake sa unang pagkakataon ay hindi madali—ngunit hindi imposible. Ang pagkakatuklas ng tunay na pag-atake ngayon ay nagdudulot ng mas malaking presyon sa iba’t ibang institusyon upang mabilis na i-patch ang kanilang mga sistema upang maiwasan ang masamang pagsasalakay, pagkabigo sa serbisyo, at pagkawala ng data.
Hindi nagbigay ng detalye si CISA sa pahayag nito noong Lunes kung sino ang gumagamit ng mga vulnerability na ito, ngunit kaagad bago isahod ang pahayag nito, sinabi ng mga researcher sa seguridad na sila ay nakakita ng mga ebidensya na ginagamit ang PHP vulnerability.
Ang mga ito ay mga exploit na tinatawag na PHP2Shell, na nagpapakita ng mga kamalian sa software na hindi napapansin sa loob ng maraming taon. Unang natuklasan ito dalawang taon na ang nakalipas, ngunit ang nonprofit foundation na responsable sa pagpapanatili ng software ay nagsabing walang praktikal na paraan para gamitin ang mga exploit na ito ng mga hacker, kaya hindi pa ito pinag-ayos. Hanggang sa maagang bahagi ng taong ito, ang mga researcher ng security company na Calif ay natuklasan ang paraan upang gamitin ang dalawang matagal nang nakatago na vulnerability sa tulong ng isang AI model.
Ang dalawang vulnerability sa PHP ay bahagi lamang ng maraming hindi pa natuklasan o naghihintay na maayos na priority sa loob ng maraming taon; kasabay ng pagtaas ng kakayahan ng AI models sa paghahanap at pagsasamantala ng mga vulnerability, kabilang ang pagpapagsama ng maraming defects, ang mga vulnerability na ito ay nagdudulot ng panganay ngayon.
Ang PHP ay isa sa maraming lumang teknolohiya sa Web na nagpapatakbo sa internet at modernong teknolohiya, ngunit matagal nang kulang sa mga yaman at pondo, na nagiging sanhi ng pagiging mahirap para sa mga open-source project tulad ng PHP na makapagbigay ng pagmamasid sa kaligtasan na maaaring makatuklas ng mga butas nang mas maaga.