PHP2Shell: באגים ישנים ב-PHP הפכו בעזרת AI לפרצות שאפשר לנצל, ומיליוני ניסיונות תקיפה הגיעו תוך שעות
חוקרים נעזרו במודלי AI מתקדמים כדי למצוא דרכים מעשיות לנצל חולשות ב-PHP. חלק מהבעיות שבבסיסן היו מוכרות כבר מ-2024. שעות אחרי שהחולשות פורסמו נרשמו מיליוני ניסיונות ניצול, אם כי עד כה לא דווח על פריצה מוצלחת. המקרה ממחיש איך AI מוריד את הרף לניצול באגים ישנים, ולא רק עוזר להתגונן מפניהם.
צוותי אבטחה ומנהלי אתרים ברחבי העולם מיהרו השבוע לעדכן מערכות אחרי שנחשפה סדרת חולשות ב-PHP, אחת השפות הנפוצות ביותר בפיתוח אתרים. החולשות קיבלו את השם המשותף PHP2Shell. התוקפים לא חיכו: לפי ניתוח של Cloudflare, מיליוני ניסיונות ניצול נרשמו בתוך שעות מפרסום החולשות. מה שמייחד את הפרשה הוא שחלק מהבעיות שבבסיס החולשות היו מוכרות כבר שנים, ובעזרת מודלי AI מתקדמים, לצד מומחיות אנושית, הן הפכו לפרצות שאפשר לנצל בפועל.
מבאג תיאורטי למשבר אקטואלי
לפי Wired, הראשונים שזיהו את חולשות PHP2Shell ובנו להן exploit (קוד שמנצל חולשה) היו חוקרים בחברת האבטחה Calif, בתחילת אוגוסט. הם נעזרו בכלי AI מתקדמים במסגרת תוכנית Patch the Planet של OpenAI, אבל גם בידע אנושי מעמיק על PHP ועל נקודות התורפה שלה. חלק מהבעיות זוהו כבר ב-2024, אבל אז הוערכו כמסובכות מכדי שיהיה אפשר לנצל אותן. אחרי הגילוי של Calif, גם חוקרים ב-OpenAI ובחברת האבטחה Wiz, שנמצאת בבעלות גוגל, מצאו חולשות PHP2Shell בעזרת כלי AI, כל צוות בנפרד.
"הצוות של PHP ידע על החולשה כבר שנים, אבל מכיוון שתוקף לא יכול היה לנצל אותה, לפחות לא תוקף אנושי, לא טיפלו בה", מסביר שגיא צדיק, חוקר אבטחה ב-Wiz.
המשמעות היא שהשיקול הוותיק לפיו באג "קשה מדי לניצול" יכול לחכות, נשען ככל הנראה על הנחה שכבר לא תקפה. AI לא יצר כאן חולשה חדשה. הוא שינה את החישוב לגבי חולשה שכבר הייתה שם.
בינתיים, בלי פריצות מוצלחות
למרות גל הניסיונות, התרחיש הגרוע ביותר, השתלטות המונית על אתרים, לא התממש עד כה. קרן PHP (PHP Foundation) מסרה שלא ראתה אף ניצול מוצלח של החולשות, ונראה שרבים מה-exploits שמסתובבים ברשת אינם עובדים. Wired מציין שקצב התגובה של התוקפים אינו מפתיע, משום שכלי AI זמינים לכולם ומקלים על ניצול מהיר של פרצות. עם זאת, הכתבה לא מציגה ראיה ישירה לכך שהתוקפים הספציפיים השתמשו ב-AI.
הפרשה מתרחשת על רקע עומס הולך וגדל על צוותי IT. עדכוני האבטחה של מיקרוסופט כללו החודש מספר שיא של 1,453 חולשות, ו-Bank of America גייס לאחרונה 1,000 יועצים כדי לתקן פגמים שמצא Mythos, המודל של אנתרופיק.
לא כל באג ישן הוא PHP
לא כל המומחים צופים מבול. "בהחלט נראה עוד באגים ותיקים כאלה, שקיימים בכל גרסה של התוכנה בעשור האחרון", אומר ג'ייק ויליאמס, סגן נשיא למחקר ופיתוח ב-Hunter Strategy ולשעבר האקר ב-NSA. "אבל לדעתי יש גבול לכמות הפירות הנמוכים האלה. אין הרבה דברים אחרים עם תפוצה כמו של PHP. זה משטח תקיפה פרוע. רוב הכלים האחרים לא חשופים לאינטרנט מלכתחילה".
החוקרים מזכירים גם שהמומחיות האנושית עדיין חיונית. בפוסט שפרסם השבוע ריאן אוסטין מ-Calif, שגילה ראשון את החולשות, נכתב: "אף מודל לא מסוגל פשוט לחשוף 'את כל הבאגים' עם פרומפטים פשוטים. לפחות בינתיים".
גם מהנדס וחוקר האבטחה נילס פרובוס ממעיט בחשש: "האמת? זה לא באמת מדאיג אותי. אנשים מחפשים בעזרת AI כבר יותר משנה, והיה צריך צוות מיומן מאוד כדי למצוא את זה. נראה אם אני טועה לגמרי, אבל אני בספק".
למה זה חשוב
PHP2Shell הוא ככל הנראה אחת הדוגמאות המוחשיות הראשונות לכך ש-AI משנה את מאזן הכוחות באבטחת מידע לשני הכיוונים. אותם כלים שעוזרים למגינים למצוא באגים מקצרים גם את הזמן שעובר מגילוי חולשה ועד ניסיון לנצל אותה. בשביל ארגונים, ובעיקר בשביל צוותים קטנים עם מעט משאבים, המסקנה המעשית היא כנראה שאי אפשר עוד לדחות את הטיפול בבאגים "תיאורטיים". מה שנחשב אתמול קשה מדי לניצול עשוי להיות מחר בהישג ידם של תוקפים.