PHP2Shell: שתי פרצות קריטיות ב-PHP, השפה שמפעילה כ-70% מהאתרים, וה-CTO של Wiz מזהיר מפני "וולנפוקליפסה"
בשבוע שעבר נחשפו שתי פרצות קריטיות ב-PHP, שפת הקוד הפתוח שמאחורי כ-70% מהאתרים. ארגונים מיהרו לתקן מערכות, וחלקם הורידו אתרים מהאוויר עד שהתיקון הותקן. תומר שוורץ מ-Wiz, שהשתתף במאמץ לתקן את הבאגים, מעריך שזו רק ההתחלה, כי AI מאיץ את קצב הגילוי והניצול של חולשות בקוד ישן.
בשבוע שעבר נחשפו שתי פרצות אבטחה קריטיות ב-PHP, שפת התכנות בקוד פתוח (open source) שעליה פועלים כ-70% מהאתרים באינטרנט. ארגונים מיהרו לתקן את המערכות שלהם, וחלקם אף הורידו אתרים מהאוויר עד שהתיקון הותקן. ההד התקשורתי כבר שכך, אבל לפי TechCrunch העבודה בשטח רחוקה מלהסתיים. החוקרים שמצאו את הבאגים מעריכים שזו רק ההתחלה.
מי מאחורי החשיפה
אחד המעורבים במאמץ הוא תומר שוורץ, CTO של תחום Exposure Management ו-AppSec (אבטחת אפליקציות) בחברת Wiz, שנמצאת בבעלות גוגל. בפרק של הפודקאסט Equity של TechCrunch, שכותרתו מתייחסת לפרצות בשם PHP2Shell, שוורץ מתאר בשיחה עם הכתבת רבקה בלן את המרוץ לתיקון הבאגים. לדבריו, Wiz עבדה על התיקון לצד OpenAI, קבוצת המחקר Calif וצוות הפיתוח של PHP.
לפי תקציר הפרק, שוורץ אומר שבלי AI החברה לא הייתה מוצאת את הבאגים. Wiz השתמשה בכלים שפיתחה בעצמה, ובמהלך סוף שבוע אחד בדקה בעזרתם עשרות רעיונות. עוד עולה בשיחה שאחד הבאגים היה גלוי לעין יותר מעשור, עד שמשהו השתנה והפך אותו לניתן לניצול.
"וולנפוקליפסה": למה דווקא עכשיו
המונח שבו משתמש שוורץ, "Vulnpocalypse" (צירוף של vulnerability, חולשה, ו-apocalypse), מתאר את מה שהוא צופה: גל של חשיפות באגים בקוד ישן שמחזיק חלקים גדולים מהאינטרנט. לפי החוקרים, הסיבה היא ש-AI משנה את המהירות שבה אפשר למצוא חולשות חדשות ולנצל אותן.
המשמעות ככל הנראה כפולה. אותם כלים שעוזרים לחוקרי אבטחה לסרוק בתוך ימים קוד שנכתב לפני שנים יכולים לשמש גם תוקפים. במצב כזה, הזמן בין גילוי פרצה לניצול שלה צפוי להתקצר. לכן שוורץ טוען בפודקאסט שתיקון ידני של פרצות פשוט לא יעמוד בקצב.
הדלפות, עדכונים ובעלי אתרים קטנים
עוד נושא שעולה בשיחה הוא הנוהל שנקרא coordinated disclosure (חשיפה מתואמת). לפי הנוהל, החוקרים מעדכנים קודם את מפתחי התוכנה, ורק אחרי שתיקון מוכן הפרצה מתפרסמת ברבים. לדברי שוורץ, הדלפות הן כמעט חלק בלתי נפרד מהתהליך הזה, ו-Wiz נערכה מראש לאפשרות שהמידע ידלוף.
בפרק עולות גם שאלות של מי שאינם אנשי אבטחה: מי עדיין לא התקין את העדכונים, והאם בעלי עסקים קטנים שמפעילים אתר WordPress, מערכת ניהול תוכן שכתובה ב-PHP, צריכים לדאוג. בתקציר שפרסמה TechCrunch אין תשובות מפורטות לשאלות האלה, והן נדונות בפרק המלא. השיחה עוסקת גם בדרכים שבהן סטארטאפים בשלב מוקדם יכולים לשלב שיקולי אבטחה כבר בשלב הפיתוח.
למה זה חשוב
PHP היא אחת מאבני היסוד של הרשת, ואתרי תוכן, חנויות מקוונות ובלוגים רבים פועלים עליה. בפרק קודם של Equity תיארו את האירוע כ-"PHP Armageddon" ואמרו שהאינטרנט מוחזק ב"דבק וחלומות". אם הערכת החוקרים נכונה, PHP2Shell היא לא תקרית חד-פעמית. ייתכן שזה סימן ראשון לתקופה שבה בינה מלאכותית חושפת במהירות חולשות בקוד שנחשב יציב במשך שנים, וארגונים יצטרכו לעבור לתיקון אוטומטי כדי לעמוד בקצב.