Otkriveni ozbiljni sigurnosni propusti: Države diljem svijeta gase web stranice

Vladine agencije i privatna poduzeća na više kontinenata u srijedu su isključili web stranice nakon otkrivanja dvije kritične sigurnosne ranjivosti u PHP-u, programskom jeziku koji podržava značajan dio globalne web infrastrukture. Odmah je isključen digitalni servis nakon što su detalji o propustima u utorak procurili u javnost, što je dovelo do hitnih odbrambenih mjera prije službenog objavljivanja zakrpe.

Slabosti omogućuju napadačima da dobiju neovlašten pristup serverskim datotekama ili bazama podataka i izvrše daljinski kod bez autentifikacije, što predstavlja ozbiljnu prijetnju sustavima koji se kreću od online trgovina i novinskih portala do ključnih državnih usluga. Američka Nacionalna sigurnosna agencija izdala je rijetku javnu direktivu kojom poziva organizacije da odmah zakrpe ranjive sustave ili ih uklone iz mreže. U izjavi objavljenoj na društvenoj mreži X, agencija je napomenula da defekti često pružaju direktan put do sustava datoteka ili baze podataka servera. Napadači bi mogli iskoristiti ove praznine kako bi preuzeli kontrolu nad web serverima bez potrebe za lozinkama.

NSA je savjetovala sve subjekte koji koriste PHP da se pripreme za ažuriranje koje će odmah ukloniti dvije kritične ranjivosti. Drugi organi, uključujući tim za računalne hitne situacije Europske unije i Nacionalni centar za kibernetičku sigurnost Ujedinjene Kraljevine, izdali su slične upozorenja u kojima se preporučuje identifikacija pogođenih sustava i instalacija ažuriranja. Ranjivosti, zajednički nazvane PHP2Shell, identificirane su uz pomoć naprednih modela umjetne inteligencije. Wiz je procijenio da PHP pokreće oko 70 posto web stranica diljem svijeta.

Tvrtka je opisala otkrića kao rangiranje među najtežim ranjivosti pronađene u PHP-u, i vjerojatno u povijesti softvera. Iako su temeljne greške u kodu postojale desetljećima, Wiz je izjavio da dokazivanje njihove iskorištavanja zahtijeva složeni niz koraka blizu granice onoga što ljudski istraživači mogu praktično postići. Volonteri koji održavaju PHP jezik objavili su ispravku u srijedu. Zaklada PHP, neprofitna organizacija koja financira programere koji rade na jeziku, pozvala je korisnike da odmah ažuriraju svoje sustave. Na svom blogu, fondacija je izjavila da je ažuriranje imperativ za svakoga tko koristi PHP.

Volker Dusch, sigurnosni inženjer u PHP Fondaciji, rekao je Wall Street Journal-u da je ovo najteži problem s kojim se PHP suočio u više od deset godina. Usporedio je situaciju s Heartbleedom, sigurnosnom greškom iz 2014. koja je pokrenula globalnu utrku za popravke sustava. Izlučivanje tehničkih detalja u utorak je ubrzalo odgovor na krizu. Prije curenja, programeri su bili obaviješteni povjerljivo, a informacije su ostale tajne dok je popravak bio u razvoju. Preuranjeno izlaganje natjeralo je vlade da djeluju preventivno.

U Francuskoj, Ministarstvo unutarnjih poslova je objavilo da su lokalne vladine web stranice, uključujući i stranice pariške policije, postale nedostupne u srijedu popodne na zahtjev francuske Nacionalne agencije za kibernetičku sigurnost. U Nizozemskoj, nacionalna usluga digitalnog identiteta DigiD, web stranica Zastupničkog doma, pa čak i web stranica Nacionalnog centra za kibernetičku sigurnost, isključene su iz predostrožnosti, prema nizozemskom javnom televizijskom NOS-u. Njemačko Savezno ministarstvo za digitalnu transformaciju i modernizaciju vlade potvrdilo je da je kao preventivnu mjeru ukinulo određene internetske stranice.

Njemački Savezni ured za informacijsku sigurnost upozorio je da ranjivosti predstavljaju prijetnju za web aplikacije širom svijeta. Izvješća su pokazala da su brojne javne uprave, sveučilišta i bolnice u Njemačkoj uklonile svoje stranice s interneta. U Belgiji, Ministarstvo vanjskih poslova privremeno je onemogućilo svoje web stranice, iako je nacionalni centar za kibernetičku sigurnost prijavio da nema zabilježenih napada na belgijske web stranice. Češka vlada je također suspendirala svoje internetske stranice kako bi provela zaštitne mjere. Japanski premijer Sanae Takaichi objavio je na društvenim mrežama da upozori građane na rizik od PHP-a.

Vlasti u Finskoj su također potvrdile da su zatvorile određene web stranice kako bi primenile sigurnosnu zakrpu. Incident naglašava širi trend u softverskoj sigurnosti, gdje sve sposobniji modeli umjetne inteligencije otkrivaju ranjivosti brzim tempom. Broj ranjivosti otkrivenih u 2026. predviđa se da će biti otprilike dvostruko veći od ukupnog broja otkrivenih u prethodnoj godini. OpenAI je okarakterizirao grešku kao jednu od najutjecajnijih ranjivosti u nedavnom sjećanju, navodeći da označava novu fazu u kojoj umjetna inteligencija može identificirati sigurnosne greške s utjecajem na internet.

Ethan Mollick, profesor na Whartonskoj školi Sveučilišta u Pennsylvaniji koji proučava umjetnu inteligenciju, primijetio je da se tvrtke bore da održe korak s brzinom potrebnom za instaliranje sigurnosnih zakrpa protiv kibernetičkih napada koje pokreće umjetna inteligencija. Napomenuo je da će se potrošači vjerojatno suočiti s čestim i hitnim zahtjevima za ažuriranjem sustava u budućnosti. Široka ovisnost o PHP-u znači da se potencijalni utjecaj proteže daleko izvan vladinih sektora, utječući na komercijalne subjekte i pojedinačne korisnike koji se oslanjaju na jezik za svoju digitalnu prisutnost.

Koordinirani globalni odgovor naglašava kritičnu prirodu nedostataka i rastuću ulogu automatiziranih alata kako u otkrivanju tako i u iskorištavanju slabosti softvera.