Odkrili resne varnostne napake: Države po vsem svetu zapirajo spletne strani

Vladne agencije in zasebna podjetja na več kontinentih so v sredo preklicali spletne strani po razkritju dveh kritičnih varnostnih ranljivosti v PHP, programskem jeziku, ki podpira velik del globalne spletne infrastrukture. Takojšnja prekinitev digitalnih storitev se je zgodila po tem, ko so v torek javno iztekle podrobnosti o napakah, kar je povzročilo nujne obrambne ukrepe pred uradno izdajo popravka.

Ranljivost omogoča napadalcem, da pridobijo nepooblaščen dostop do datotek strežnika ali podatkovnih baz in izvršijo oddaljeno kodo brez preverjanja pristnosti, kar predstavlja resno grožnjo za sisteme, ki segajo od spletnih trgovin in novinskih portalov do bistvenih državnih storitev. Ameriška agencija za nacionalno varnost je izdala redko javno direktivo, v kateri poziva organizacije, naj takoj popravijo ranljive sisteme ali jih odstranijo iz omrežja. V izjavi, objavljeni na platformi socialnih medijev X, je agencija opozorila, da pomanjkljivosti pogosto zagotavljajo neposredno pot do strežnikovega datotenskega sistema ali baze podatkov. Napadalci bi lahko izkoristili te vrzeli, da bi prevzeli nadzor nad spletnimi strežniki, ne da bi potrebovali gesla.

NSA je vsem subjektom, ki uporabljajo PHP, svetovala, naj se takoj pripravijo na posodobitev, ki obravnava dve kritični ranljivosti. Drugi organi, vključno s ekipo za odzivanje na računalniške izredne razmere Evropske unije in nacionalnim centrom za kibernetsko varnost Združenega kraljestva, so izdali podobne opozorila, v katerih so priporočili identifikacijo prizadetih sistemov in namestitev posodobitev. Ranljivosti, ki se skupaj imenujejo PHP2Shell, so bile identificirane s pomočjo naprednih modelov umetne inteligence. Wiz je ocenil, da PHP poganja približno 70 odstotkov spletnih strani po vsem svetu.

Podjetje je opisalo odkritja kot eno najhujših ranljivosti v PHP-ju in verjetno v zgodovini programske opreme. Čeprav so pomanjkljivosti v kodah obstajale že desetletja, je Wiz dejal, da je dokazovanje njihove izkoriščljivosti zahtevalo zapleteno zaporedje korakov blizu meje tega, kar bi lahko raziskovalci praktično dosegli. Prostovoljci, ki vzdržujejo jezik PHP, so v sredo objavili popravek. PHP Foundation, neprofitna organizacija, ki financira razvijalce, ki delajo na jeziku, je uporabnike pozvala, naj nemudoma posodobijo svoje sisteme. Na svojem blogu je fundacija navedla, da je posodobitev nujna za vsakogar, ki uporablja PHP.

Volker Dusch, varnostni inženir pri fundaciji PHP, je za Wall Street Journal povedal, da je to najbolj resna težava, s katero se je PHP srečal v zadnjih desetih letih. Primerjal je situacijo s Heartbleedom, varnostno napako iz leta 2014, ki je sprožila globalno tekmo za popravljanje sistemov. Vtorek je iztekla tehnična informacija, ki je pospešila odziv na krizo. Pred razkritjem so bili razvijalci obveščeni zaupno in informacije so ostale tajne, medtem ko so razvijali popravek. Prezgodnja izpostavljenost je prisilila vlade, da ukrepajo preventivno.

V Franciji je ministrstvo za notranje zadeve objavilo, da so lokalne vladne spletne strani, vključno s strani pariške policije, v sredo popoldne na zahtevo francoske nacionalne agencije za kibernetsko varnost, postale nedostopne. V Nizozemski je bila nacionalna storitev digitalne identitete DigiD, spletna stran Predstavniškega doma in celo spletna stran Nacionalnega centra za kibernetsko varnost izključena iz previdnosti, poroča nizozemska javna televizija NOS. Nemško zvezno ministrstvo za digitalno preobrazbo in modernizacijo vlade je potrdilo, da je kot preventivni ukrep odstranilo nekatere spletne strani.

Nemški zvezni urad za informacijsko varnost je opozoril, da ranljivost ogroža spletne aplikacije po vsem svetu. Poročila so pokazala, da so številne javne uprave, univerze in bolnišnice v Nemčiji odstranile svoje strani s spleta. V Belgiji je ministrstvo za zunanje zadeve začasno onemogočilo svoje spletne strani, čeprav je nacionalni center za kibernetsko varnost poročal, da ni bilo zabeleženih napadov na belgijske spletne strani. Češka vlada je prav tako prekinila delovanje svojih spletnih strani, da bi izvedla zaščitne ukrepe. Japonska premierka Sanae Takaichi je na družbenih omrežjih poslala sporočilo, s katerim je državljane opozorili na tveganje, ki ga predstavlja PHP.

Vlasti na Finskem so potrdile, da so zaprle določene spletne strani, da bi uporabile varnostno popravilo. Incident poudarja širši trend v programski varnosti, kjer vse bolj sposobni modeli umetne inteligence hitro odkrivajo ranljivosti. Število ranljivosti, odkritih v letu 2026, naj bi bilo približno dvakrat večje od rekordnega števila v prejšnjem letu. OpenAI je napako označil kot eno najbolj vplivnih ranljivosti v zadnjem času, pri čemer je dejal, da označuje novo fazo, v kateri lahko umetna inteligenca prepozna varnostne napake z vplivom na internetni ravni.

Ethan Mollick, profesor na Whartonovi šoli Univerze v Pensilvaniji, ki preučuje umetno inteligenco, je opazil, da podjetja težko sledijo hitrosti, ki je potrebna za namestitev varnostnih popravkov proti kibernetskim napadom, ki jih povzroča umetna inteligenca. Opozoril je, da se bodo potrošniki v prihodnosti verjetno soočali s pogostimi in nujnimi zahtevami po posodobitvah sistema. Široko razširjena odvisnost od PHP pomeni, da potencialni vpliv presega vladne sektorje in vpliva na komercialne subjekte in posamezne uporabnike, ki se zanašajo na jezik za svojo digitalno prisotnost.

Usklajeni globalni odziv poudarja kritično naravo pomanjkljivosti in vse večjo vlogo avtomatiziranih orodij pri odkrivanju in izkoriščanju pomanjkljivosti programske opreme.