Profesional keselamatan siber mendesak pengendali laman web—dan sesiapa sahaja yang menggunakan perkhidmatan kripto di web—untuk memperlakukan kerentanan yang berkaitan PHP sebagai risiko aktif dalam jangka masa terdekat, walaupun patch kecemasan telah dikeluarkan. Ketua Eksekutif Immunefi, Mitchell Amador, mengatakan bahawa banyak laman web kecil mungkin memerlukan berminggu-minggu untuk mengaplikasikan kemas kini secara berasingan, meninggalkan pengguna terdedah lebih lama daripada yang disarankan oleh garis masa pengumuman awal.
Amaran Amador datang tidak lama selepas PHP Foundation mengakui bahawa ia menangguhkan pembaikan kelemahan kritikal yang pertama kali dikenal pasti pada 2024, dengan alasan kekurangan sumber. Walaupun pampasan kecemasan untuk dua kelemahan kritikal telah dikeluarkan pada hari yang sama, tanggungjawab masih terletak pada laman web individu untuk mengemas kini pemasangan mereka.
Poin-poin utama
- Pengasas Immunefi, Mitchell Amador, mengatakan pengguna seharusnya menganggap mana-mana laman web yang mereka log masuk boleh diserang dalam beberapa minggu ke depan.
- Walaupun terdapat pemaafan PHP kecemasan, laman web masih perlu mengemas kini sendiri—pengendali yang lebih kecil mungkin tertinggal selama berminggu-minggu.
- Amador menasihatkan pengguna untuk tidak mengulang gunakan kata laluan dan berhati-hati apabila menyambungkan dompet mata wang kripto ke laman web.
- Dia juga mencadangkan untuk mencabut persetujuan token yang pengguna tidak kenal untuk mengurangkan kesan aktiviti jahat yang berpotensi.
- Beberapa pihak melaporkan aktiviti eksploit pantas selepas pengumuman awam, termasuk laporan beribu-ribu cubaan dalam masa 24 jam.
Mengapa kemas kini PHP mungkin tidak tiba cukup cepat
Amador menggambarkan situasi ini sebagai sebahagian daripada corak berulang dalam keselamatan moden: kerentanan boleh dikenal pasti dengan pantas, tetapi pembaikian seringkali lebih perlahan dan lebih mahal—terutamanya untuk kumpulan panjang tapak web yang lebih kecil. “Ini adalah kiamat kerentanan” yang berjalan mengikut jadual, kata Amador kepada Cointelegraph, berhujah bahawa jurang masa antara pengumuman dan pengambilan pembaikan secara meluas adalah di mana keburukan sebenar berlaku.
Dalam istilah praktikal, nasihatnya ditujukan kepada pengguna yang mungkin berinteraksi dengan laman web yang belum meningkatkan versi PHP mereka. “Selama beberapa minggu ke depan, perlakukan mana-mana laman web yang anda log masuk seolah-olah ia sudah boleh dikompromikan,” katanya. Bagi pengguna kripto, itu bermaksud peningkatan kewaspadaan terhadap sambungan dompet, di mana laman web jahat mungkin cuba menipu pengguna untuk mengesahkan kebenaran token atau berinteraksi dengan kontrak berbahaya.
Amador juga menekankan tindakan kebersihan asas yang boleh mengurangkan kerosakan seterusnya jika laman web diserang, termasuk mengelakkan penggunaan semula kata laluan dan mencabut persetujuan token yang tidak dikenali.
Penundaan dan pemaafan kecemasan PHP Foundation
Cointelegraph sebelumnya melaporkan bahawa PHP Foundation mengakui bahawa ia menangguhkan pembaikan kelemahan keselamatan kritikal yang pertama kali dikenal pasti pada 2024 akibat kekurangan sumber. Laporan yang sama mencatat bahawa pembangun mengeluarkan pemaafan kecemasan untuk dua kelemahan kritikal pada hari pelancaran kecemasan, tetapi tidak menghilangkan isu utama: setiap laman web masih perlu mengemas kini persekitarannya sendiri.
Perbezaan ini penting untuk pengurusan risiko. Rilis pemaaf tidak secara automatik bermaksud perlindungan segera di seluruh internet, dan penentang yang menganggap “dipaafkan” bermaksud “di mana-mana” mungkin meremehkan berapa lama peluang eksploitasi boleh berterusan—terutamanya untuk laman yang bergantung pada hosting bersama atau mempunyai kitaran kemas kini yang kurang kerap.
Liputan sebelumnya dari Cointelegraph juga mengutip Amador yang memperingatkan bahawa perubahan dalam landskap keselamatan siber menjadikan kitaran ini lebih berbahaya. Dalam temu bual pada Jun, beliau menghubungkan kerangka “apokalips kerentanan” dengan bagaimana kemampuan penyerang yang berubah dan perlumbaan keselamatan yang lebih luas boleh mempercepat jalan daripada penemuan hingga pemanfaatan, menyumbang kepada insiden berkenaan tinggi termasuk serangan DeFi.
Cubaan eksploit dilaporkan dengan cepat selepas pengumuman
Kesegeraan di sebalik amaran Amador disokong oleh laporan eksploitasi yang bergerak pantas. Cointelegraph mengutip Cloudflare CEO Matthew Prince, yang mengatakan rangkaian itu melihat “jutaan cubaan eksploitasi” dalam 24 jam selepas kerentanan PHP diumumkan secara awam, menurut pos X hari Kamis yang dikaitkan dengan Prince. Beliau juga menyebut ribuan cubaan sebelum pengumuman awam.
Itu penting kerana PHP masih digunakan secara meluas. Menurut Cloudflare, kira-kira satu daripada lima laman web di seluruh dunia menghala trafik melalui infrastruktur Cloudflare, yang menurut syarikat itu membantu melindungi pengguna dan mempercepatkan penghantaran laman web. Sementara itu, W3Techs menganggarkan bahawa PHP menggerakkan kira-kira 69% laman web yang menggunakan bahasa pengaturcaraan sisi pelayan yang diketahui, menunjukkan potensi jangkauan serangan yang besar jika kerentanan membolehkan kompromi jarak jauh, penghantaran malware, atau penyusupan kod jahat.
Kekhawatiran seperti ini turut ditegaskan oleh Bahagian Siber FBI. Dalam pos X pada hari Rabu, bahagian tersebut memperingatkan bahawa kelemahan tersebut mungkin membolehkan pihak jahat untuk “menjalankan kod jauh di dalam inti PHP,” dengan potensi untuk membahayakan data dan rangkaian sensitif.
Apa yang perlu dilakukan oleh pengguna dan operator seterusnya
Ketidakpastian utama dalam beberapa hari mendatang bukan sama ada pemaafan wujud, tetapi seberapa pantas laman web dinaik taraf dalam amalan. Panduan Amador secara efektif meminta pengguna untuk menutup jurang itu dengan menganggap kompromi adalah mungkin—walaupun hanya sebahagian kecil laman web yang benar-benar rentan pada mana-mana masa.
Untuk pengendali laman web, keutamaan segera ialah memastikan PHP diperbaharui dan persekitaran hosting melaksanakan pembaruan tersebut. Untuk pengguna kripto, komen Amador mencadangkan pendekatan konservatif terhadap sambungan dompet: elakkan berinteraksi dengan laman web yang berisiko atau tidak dikenali, dan semak persetujuan token untuk membatalkan apa-apa yang tidak jelas diperlukan atau dikenali.
Kerana kampanye eksploit biasanya mempercepat sekitar pengumuman dan kemudian mereda seiring peningkatan cakupan pemaafan, item yang perlu dipantau seterusnya oleh pembaca ialah kadar pengambilan penggantian PHP di kalangan penyedia hosting dan laman individu—terutamanya properti web kecil yang mungkin memerlukan masa lebih lama untuk dikemas kini dan dengan itu paling mungkin tetap menjadi sebahagian dari jendela paparan.
Artikel ini asalnya diterbitkan sebagai Immunefi CEO: Kelemahan PHP memperkuat risiko keselamatan AI yang semakin meningkat pada Crypto Breaking News – sumber tepercaya anda untuk berita kripto, berita Bitcoin, dan kemas kini blok rantai.