Trečiadienį visame pasaulyje vyriausybinės institucijos ir įmonės ėmė išjunginėti interneto svetaines, kai buvo paviešinta informacija apie dvi kritines PHP programavimo kalbos saugumo spragas.
PHP naudojama daugelyje populiarių svetainių kūrimo platformų, todėl pažeidžiamumai gali paveikti įvairius tinklalapius – nuo elektroninių parduotuvių ir naujienų portalų iki valstybinių paslaugų sistemų.
DI padėjo aptikti grėsmę, palietusią didelę interneto dalį
Saugumo bendrovė „Wiz“, viena iš spragas nustačiusių įmonių, teigia, kad PHP veikia maždaug 70 proc. pasaulio svetainių. Bendrovės vertinimu, tai yra „vienos rimčiausių, kada nors aptiktų PHP, ir ko gero visoje programinės įrangos istorijoje“ saugumo spragų.
JAV Nacionalinio saugumo agentūra (NSA) organizacijoms nurodė nedelsiant įdiegti saugumo pataisas arba nuo interneto atjungti pažeidžiamas sistemas. Pasinaudoję spragomis užpuolikai galėtų be slaptažodžio perimti interneto serverių kontrolę.
„PHP Foundation“ saugumo inžinierius Volkeris Duschas leidiniui „The Wall Street Journal“ sakė, kad tai rimčiausia PHP problema per daugiau nei dešimtmetį. Jis ją palygino su 2014-aisiais kilusia „Heartbleed“ viruso krize, kai visame pasaulyje skubiai diegtos saugumo pataisos.
Spragos aptiktos tuo metu, kai sparčiai daugėja pranešimų apie programinės įrangos pažeidžiamumus, kuriuos padeda rasti vis galingesni dirbtinio intelekto (DI) modeliai. Skaičiuojama, kad 2026-aisiais nustatytų spragų skaičius gali būti beveik dvigubai didesnis nei praėjusių metų rekordas.
„PHP Foundation“, finansuojantis kalbos kūrėjus, savo tinklaraštyje paragino visus PHP naudojančius vartotojus nedelsiant atnaujinti sistemas.
Saugumo įmonė „Calif“ šias spragas aptiko rugpjūtį, atlikdama „OpenAI“ finansuotą PHP kodo auditą. Tam buvo pasitelktas „OpenAI“ modelis „GPT-5.6 Sol“.
„Google“ priklausanti „Wiz“ po kelių savaičių spragas nepriklausomai nustatė pati, naudodama DI modelius, tarp jų – „Google“ sukurtą „Gemini 4 Argon“ ir „GPT-5.6 Sol“.
„OpenAI“ tinkle „X“ šią klaidą pavadino „viena reikšmingiausių pastarojo meto spragų“ ir teigė, kad ji rodo naują etapą, kai DI gali aptikti saugumo problemas, darančias poveikį visam internetui.
Interneto naudotojų laukia dažnesni atnaujinimai
Pensilvanijos universiteto Whartono verslo mokyklos profesorius Ethanas Mollickas, tyrinėjantis DI, teigė, kad bendrovės nesugeba diegti pataisų tokiu greičiu, kokio reikia norint apsisaugoti nuo DI valdomų kibernetinių atakų.
Jis tinkle „X“ įspėjo, kad vartotojams teks dažnai ir greitai atnaujinti naudojamas sistemas.
Iš pradžių apie spragas PHP kūrėjams buvo pranešta konfidencialiai, kol buvo rengiama saugumo pataisa. Tačiau informacija internete nutekėjo antradienį – likus vienai dienai iki oficialaus pataisos paskelbimo. Dėl to svetaines teko skubiai išjungti.
Prancūzijos vidaus reikalų ministerija pranešė, kad Nacionalinės kibernetinio saugumo agentūros prašymu nuo trečiadienio popietės nebuvo pasiekiamos vietos valdžios svetainės, įskaitant Paryžiaus policijos portalą.
Nyderlandų visuomeninis transliuotojas NOS skelbė, kad atsargumo dėlei išjungta nacionalinė skaitmeninės tapatybės paslauga „DigiD“, Atstovų Rūmų svetainė ir nacionalinio kibernetinio saugumo centro puslapis.
Australijos visuomeninis transliuotojas ABC nurodė, kad šalies Signalų direktoratas patvirtino: tarp paveiktų institucijų svetainių buvo ir jo paties portalas cyber.gov.au.