A PHP-hibát megtalálták. Most kezdődik a neheze

A kritikus sérülékenység felfedezése látványos pillanat, de önmagában még egyetlen szervert sem véd meg. A biztonság valódi mércéje az, hogy a javítás gyorsabban jut-e el az érintett rendszerekhez, mint a támadók kódja.

A biztonsági híreknek van egy kényelmes dramaturgiájuk. Kutatók megtalálják a hibát, a fejlesztők elkészítik a javítást, a felhasználók frissítenek, az internet pedig megmenekül. Függöny. A PHP két kritikus, közösen PHP2Shell néven emlegetett sérülékenységének története viszont inkább olyan, mint amikor a tűzjelző megszólal, miközben a folyosón már füst van.

Érdemes szétszedni az időrendet, mert különben összefolyik a hibafelfedezés, a támadás és a védekezés. A Portfolio összefoglalója szerint a több mint egy évtizede rejtőző hibákat egymástól függetlenül a Calif és az Alphabet érdekeltségébe tartozó Wiz fedezte fel, mesterséges intelligencia segítségével. A javításon a két vállalat a PHP fejlesztőcsapatával és az OpenAI-jal együtt dolgozott. Ez volt a kutatói szakasz: megtalálni, megérteni, majd javítható formába önteni a problémát.

Csakhogy a támadói szakasz nem várta meg a sajtóközleményt. A Wired és a Portfolio egyaránt arról ír, hogy az Amazon egyik honeypotján október 17-én már észleltek egy kihasználási kísérletet. Négy nappal azelőtt, hogy a hibákat és a javításokat nyilvánosan bejelentették volna.

A honeypot itt nem valamiféle digitális mézescsupor, bár a név ezt ígéri. Szándékosan sérülékenynek mutatott rendszer, amely arra szolgál, hogy a kutatók megfigyeljék, ki, mivel és hogyan próbálkozik. Az AWS szerint a korai kísérlet egy kereskedelmi anonimizáló hálózathoz, például proxyhoz vagy VPN-hez köthető IP-címről érkezett. Ez gyanús, de nem perdöntő. CJ Moses, az AWS információbiztonsági vezetője szerint utalhat fenyegetést jelentő szereplőre, azt azonban egyelőre nem tudni, hogyan kerülhetett hozzá a kihasználás módja a nyilvános bejelentés előtt.

Ez fontos korlát. A megfigyelt próbálkozásból nem következik automatikusan sikeres betörés, világméretű összeesküvés vagy időutazó hacker. A Wired szerint azt sem bizonyították, hogy az észlelt támadások valódi rendszerek ellen sikerrel jártak. Annyi állítható, hogy valaki már kopogtatta az ajtót, mielőtt a ház lakóinak hivatalosan szóltak volna a rossz zárról.

A következő fordulópont a javítások szerdai kiadása volt. Ettől kezdve két verseny indult egyszerre. A rendszergazdák próbálták megtalálni és frissíteni az érintett webhelyeket, miközben a támadók a javításból próbálhatták visszafejteni, pontosan mit kellett kijavítani. Ez a biztonsági világ egyik régi paradoxona: a folt bezárja a rést, de egyben neonnyíllal rá is mutat arra.

A Wired beszámolója szerint a nyilvános bizonyítékkódok már a bejelentés napján terjedni kezdtek. Az AWS több, eltérő célúnak látszó támadási kísérletet észlelt, és azt közölte, hogy a PHP2Shell hibákat már széles körben kihasználják az interneten. Innentől a kérdés nem az volt, létezik-e javítás. Az volt, hány gépre jut el időben.

A számok ezen a ponton kijózanítóbbak minden „kritikus” feliratú piros grafikánál. A Portfolio a Censys adataira hivatkozva körülbelül 2,6 millió PHP-t futtató szerverről ír. Ezek közül mintegy 1,5 millióhoz még nem volt elérhető javítás. Ugyanez a forrás idézi a Drupal Association ügyvezető igazgatóját, aki szerint az elmúlt húsz év valamennyi PHP-verziója érintett.

A Portfolio szerint a PHP a weboldalak mintegy 75 százalékának működésében játszik szerepet, és olyan tartalomkezelők alapja, mint a WordPress, a Drupal vagy a Joomla. Ebből nem következik, hogy az internet háromnegyede egyetlen gombnyomással feltörhető. Az viszont igen, hogy a probléma elérését nem lehet néhány egzotikus, laborban tartott rendszerre szűkíteni. Itt rengeteg különböző konfigurációról, szolgáltatóról és üzemeltetési gyakorlatról beszélünk.

A védekezés ára rögtön láthatóvá vált. A Portfolio beszámolója szerint Hollandiában többek között a Nemzeti Kiberbiztonsági Központ, a rotterdami kikötő, az Overheid.nl, politikai pártok és kórházak oldalai is érintettek voltak. Finnországban minden kormányzati webszolgáltatást lekapcsoltak, Franciaországban pedig a belügyminisztérium oldalait tették karbantartási módba. A leállás kellemetlen. Egy feltört állami vagy kórházi rendszer még kellemetlenebb. Néha a legprofibb informatikai művelet tényleg az, hogy kihúzzuk a dugót, mielőtt valaki más húzza ki alólunk a talajt.

És akkor jön az MI, a történet legkönnyebben túlfújható szereplője. A források szerint MI segítette a sebezhetőségek felfedezését. A Wired által idézett Moses pedig azt mondja, hogy a mesterséges intelligencia olcsóbbá és könnyebbé teszi a javítások, illetve biztonsági közlemények elemzését. Így több támadó készíthet működő exploitot akár órák vagy percek alatt. Ez nem ugyanaz az állítás, mint hogy „az MI támadja az internetet”. Az MI itt gyorsítóeszköz. Mikroszkóp a kutató kezében, elektromos csavarhúzó a betörőében. Hogy melyik hasonlat érvényes, azt a felhasználó dönti el.

Könnyű volna az egészet MI-hype-nak minősíteni. A sebezhetőségek nem azért veszélyesek, mert egy chatbot gonosz monológot ír hozzájuk. A rosszul karbantartott rendszerek, a későn érkező csomagok és a frissítéstől félő üzemeltetők az MI előtt is léteztek. Ráadásul a kisebb szolgáltatóknál egy frissítés nem feltétlenül egy kattintás. Tesztelni kell a függőségeket, az egyedi kódot és azt, hogy a javítás nem töri-e el az üzletileg fontos funkciókat. A „frissíts azonnal” jó tanács, csak nem mindig teljes műveleti terv.

Az MI-hype kritikájával szembeni legerősebb ellenérv mégis egyszerű: a források szerint a technológia olyan kritikus hibák feltárásában segített, amelyek több mint egy évtizedig rejtve maradtak. Ez önmagában érdemi eredmény. Amit nem találunk meg, azt kijavítani sem tudjuk. Az sem korrekt, ha az MI hasznát azért söpörjük le az asztalról, mert közben a támadók is használhatják.

Csak éppen a felfedezés nem a történet vége. Inkább a rajtpisztoly. Véleményem szerint a PHP2Shell valódi tanulsága nem az, hogy az MI hős vagy gonosz. Hanem az, hogy a biztonság ellátási lánc: kutató, fejlesztő, disztribúció, tárhelyszolgáltató, rendszergazda és alkalmazásgazda egymásra utalt munkája. Ha bárhol megáll a javítás, a lánc másik végén továbbra is egy nyitott ajtó marad.

A hibafelfedezésért jár a szakmai elismerés. A javítás elkészítéséért is. De a felhasználót végül nem az védi meg, hogy valahol már létezik egy folt, hanem az, hogy az ő rendszerén fut. A támadók számára ugyanis a „javítás kiadva” nem lezárás. Hanem dokumentáció.