פרצות PHP פגעו גם בשירותי המידע לבוחרים בפלורידה, באמצע ההצבעה המוקדמת
שתי פרצות קריטיות ב-PHP, שמכונות יחד PHP2Shell, פגעו גם בשירותי המידע המקוונים לבוחרים בפלורידה. חברת VR Systems השביתה אותם בזמן ההצבעה המוקדמת, פחות משבועיים לפני בחירות האמצע. במקביל, ה-NSA ממליצה לנתק מהרשת מערכות שאי אפשר לעדכן מיד.
גל ההשבתות שגרמו שתי פרצות האבטחה ב-PHP הגיע גם למערכת הבחירות בארצות הברית. לפי דיווח ב-ynet, חברת טכנולוגיות הבחירות VR Systems השביתה שירותי מידע מקוונים לבוחרים בפלורידה בעקבות האזהרות על הפרצות. ההשבתה מתרחשת בזמן ההצבעה המוקדמת במדינה, פחות משבועיים לפני בחירות האמצע. במקביל, הסוכנות לביטחון לאומי של ארצות הברית (NSA) ממליצה למפעילי מערכות שלא יכולים להתקין את התיקון מיד לנתק אותן מהרשת עד שאפשר יהיה להגן עליהן.
מה קרה בפלורידה
את הפרטים על פלורידה פרסמה תחנת WUSF, כפי שמובא בכתבה. במחוז סרסוטה, למשל, בוחרים לא יכלו לצפות בדוגמאות של טופסי ההצבעה או למצוא את מקום ההצבעה שלהם באתר הממונה על הבחירות. לשכת הבחירות הפנתה את הציבור למוקד הטלפוני שלה בזמן עבודות התחזוקה. בשעת הפרסום עוד לא היה ידוע אם השירות יחזור לפעול בתוך שעות או ימים.
במקורות אין עדות לכך שמערכות ההצבעה עצמן או רישום הבוחרים נפגעו. לפי מה שדווח, מדובר בשירותי המידע המקוונים לציבור. ועדיין, התזמון ממחיש כמה רגישה ההחלטה להוריד שירות מהרשת: מה שבשגרה הוא צעד זהירות טכני הופך בעיצומה של הצבעה לשיבוש שהבוחרים מרגישים ישירות.
הפרצות עצמן
PHP היא שפת תכנות שפועלת מאחורי הקלעים של אתרי אינטרנט רבים. היא שולפת מידע ממסדי נתונים ובונה את הדפים שמוצגים בדפדפן. שתי הפרצות, שמכונות יחד PHP2Shell, קשורות לניהול זיכרון וקיבלו ציון חומרה של 9.2 מתוך 10. בתנאים מסוימים הן מאפשרות לתוקף לגרום לשרת להריץ קוד שלו, בלי שם משתמש ובלי סיסמה. לפי ה-NSA, תוקף שישתלט כך על שרת יוכל לגנוב מידע, לשבש שירותים ולהתקדם משם למערכות נוספות ברשת.
תיקוני האבטחה פורסמו ביום רביעי. המרכז הלאומי לאבטחת סייבר בבריטניה הדגיש שהאזהרה חלה גם על גרסאות שאינן ישנות, וקרא לארגונים לאתר את כל המערכות שמשתמשות ב-PHP ולעדכן אותן.
השבתות ברחבי העולם
פלורידה מצטרפת לרשימה ארוכה של השבתות יזומות. בצרפת הושבתו אתרי נציגויות הממשלה במחוזות, ובהם אתר נציבות משטרת פריז, לבקשת הסוכנות הלאומית לאבטחת סייבר. בהולנד הורדו מהרשת כמה אתרי ממשלה, ואפילו המרכז הלאומי לאבטחת סייבר ההולנדי השבית זמנית את האתר שלו. גם אתר הממשלה בצ'כיה הושבת. בגרנזי נותקו אתר הממשלה הראשי, פורטל רשות המסים ושירותים נוספים, והממשלה המקומית הבהירה שאין ראיות לפגיעה באתרים. בפרובינציית ניופאונדלנד ולברדור בקנדה הושבתו, לפי CBC News, אתרי ממשלה ושירותים מקוונים, ובהם אתרי המשטרה המקומית.
השבתה יזומה לא מעידה כשלעצמה שהאתר נפרץ. עם זאת, סוכנות הסייבר של סינגפור דיווחה על ניסיונות נרחבים לנצל את הפרצות ועל פיתוח קוד שמדגים איך אפשר לתקוף באמצעותן. המשמעות היא שהזמן שבין פרסום התיקון להתקנתו כבר מלווה בניסיונות תקיפה.
למה זה חשוב
"פורסמו תיקונים, אבל זה לא נגמר בהתקנה", אמר רואי כהן דוויק, CTO ושותף מייסד ב-Surf AI. "ארגון צריך לדעת במהירות היכן PHP פועל, מי אחראי על כל שרת ומה חשוף לאינטרנט".
ההמלצה של ה-NSA לנתק מערכות שאי אפשר לעדכן מיד מצביעה ככל הנראה על הערכה שהסיכון ממשי ומיידי. המקרה של פלורידה מראה את המחיר של ההמלצה הזו: כשהמערכת הפגיעה היא שירות ציבורי בזמן אמת, כל שעת השבתה פוגעת באזרחים. סביר להניח שארגונים רבים יגלו עכשיו שהם לא יודעים בדיוק איפה רץ אצלם PHP, ושבשבילם זה החלק האיטי והקשה בתגובה.