הנשורת מהפגיעות של PHP2Shell הסלימה לאחת מתגובות החירום המתואמות הגדולות ביותר באינטרנט מזה שנים, כאשר ממשלות מושכות אתרים במצב לא מקוון כאמצעי זהירות וחברות אבטחה מדווחות על מיליוני ניסיונות ניצול נגד אתרים המריצים את שפת התכנות PHP, אשר עומדת בבסיס כ-70% מאתרי העולם.

מיליוני ניסיונות ניצול בתוך שעות For more context on this story, see our ongoing AI trends.

לפי ה"גרדיאן", מנכ"ל Cloudflare, מתיו פרינס, אמר כי החברה שלו רשמה עשרות אלפי ניסיונות ניצול ב-45 הדקות הראשונות לאחר שהפגיעות התפרסמה, והגיעה למאות אלפים תוך שעתיים ו"מיליונים כעת". Cloudflare גם דיווחה כי ראתה אלפי ניסיונות ב-10 השעות שלפני ההכרזה על הפגם בפומבי, פרט שעורר דאגה לגבי אופן הטיפול בחשיפה.

Amazon Threat Intelligence מסרה כי PHP2Shell "מנוצלת כעת באופן נרחב בטבע" וכי היא זיהתה מספר ניסיונות של מספר שחקנים למצוא דרכים לנצל את הפגיעות עוד לפני שמפתחי PHP שחררו את התיקון ביום רביעי. פרופסור לאבטחה אלן וודוורד מאוניברסיטת סארי אמר לעיתון כי הפגם נחשף יום לפני שהתיקון היה זמין, ואמר "מישהו שיוציא את החתול מהשק".

ממשלות לוקחות אתרים במצב לא מקוון לתיקון

התגובה הייתה דרסטית בצורה יוצאת דופן. בבריטניה, שרת אבטחת הסייבר, ליז לויד, אמרה לפרלמנט כי 32 שירותים ממשלתיים הוצאו לא מקוון, ותיארה את המהלך כאמצעי זהירות במידה רבה בזמן שהעדכונים יושמו. ברחוב דאונינג נמסר כי לא הושפעו שירותים קריטיים לציבור וכי ייתכן שחלק מהשירותים המוגבלים לא יהיו זמינים באופן זמני, אך הדגיש כי זה לא אומר שהם נפרצו.

המרכז הלאומי לאבטחת סייבר בבריטניה שלח 50,000 התראות לארגונים שנפגעו ואמר כי לא קיבל דיווחים על פריצות מוצלחות. הסוכנות תיארה את היקף הפגיעות כ"חסרת תקדים" והזהירה כי התיקון לא יעבוד עבור חלק מהארגונים המריצים מערכות ישנות יותר, שיצטרכו להחליף אותן לחלוטין. אתרים שעל פי הדיווחים הושפעו מהפסקות זמניות כללו את אתר התוכנית בוגדים של ה-BBC, ארכיון האינטרנט, ויקיפדיה ו-4Chan.

בארצות הברית, הסוכנות לביטחון לאומי פרסמה אזהרה מייעצת כי הפגם עלול לאפשר לתוקפים להשתלט על שרתי אינטרנט, לגנוב נתונים רגישים, לשבש שירותים ולהתקדם לרשתות שנפגעו. "סביר ששחקני סייבר יבצעו נשק ל-PHP2Shell", אמרה הסוכנות, והוסיפה כי הסיכונים "רציניים מספיק כדי לדרוש תיקון מיידי בכל משרדי וסוכנויות ממשלתיות בארה"ב.

תגובת החירום חצתה גבולות במהירות. דרום קוריאה הפעילה אמצעי תגובת חירום, העלתה את רמת ההתראה שלה באבטחת הסייבר במגזר הפרטי והוציאה הנחיות לעשרות אלפי חברות. משרד התעשייה של סין הפציר בארגונים לבדוק את המערכות שלהם, לשדרג לגרסה המאובטחת האחרונה של PHP ולשנות סיסמאות ומפתחות. ראש ממשלת יפן עודד עסקים לתקן את הפגיעות או לסגור את האתרים שלהם.

מדוע PHP2Shell נקרא היסטורי

סיארן מרטין, המנכ"ל לשעבר של ה-NCSC, תיאר את הפגם כ"גרוע מאוד" ו"הפגיעות החמורה ביותר שהתגלתה במשך חמש שנים". Wiz, אחד מארגוני המחקר שחשפו את הפגיעות, אמר שהיא ללא ספק בין פגמי התוכנה החמורים ביותר שהתגלו אי פעם.

מקור הפגיעות הוא מה שהופך אותה לנקודת ציון לאבטחת AI. לדברי Wiz, פגמי ה-PHP הבסיסיים היו קיימים במשך עשרות שנים, אך הוכחה שהם למעשה ניתנים לניצול דרשה שרשרת שלבים מורכבת במיוחד בקצה של מה שחוקרים אנושיים יכולים להשיג בפועל. "דגמי בינה מלאכותית של Frontier הפחיתו באופן משמעותי את המחסום הזה, והפכו פגם ארוך שנים לניצול", כתבה החברה בפוסט בבלוג שלה.

האזהרה של ה-NSA מתמקדת במה התוקפים יכולים לעשות עם הגישה. מומחה לתשתיות האינטרנט, מיכל ווז'ניאק, אמר ל"גרדיאן" כי שחקנים עוינים יכולים "לתפוס את המשאבים" של אתרים חשופים, מכיוון שאתרים גדולים שולטים בכוח מחשוב יקר, שרתים וכתובות IP. קבוצות פליליות יכולות לקנן בתוך אתרים שנפגעו כדי להפעיל התקפות שלא ניתן לאתר אותן, בעוד כורי קריפטו יכולים לחטוף שרתים כדי להריץ חישובים עתירי אנרגיה בחינם. במקרים רבים, הוא ציין, בעלי אתרים אפילו לא היו מודעים לפשרה.

הערת זהירות בתוך האזעקה

לא כולם מאמינים שהנזק נגרם. ריאן אוסטין, חוקר בחברת אבטחת הסייבר Calif שהיה המפתח לגילוי הפגם, אמר ל"גרדיאן" כי "כרגע זה לא נראה שהניצול המריא או היה נפוץ". לשכות המסחר הבריטיות אמרו שהשיבוש עדיין לא גרם לקשיים משמעותיים עבור חברות בבריטניה.

עם זאת, ראש ה-GCHQ לשעבר, סר דיוויד אומנד, הזהיר שיריבי מדינה, כולל רוסיה וסין, עלולים לנסות לנצל את הבאג לפני שההגנות יוקמו במלואן, תזכורת שהחלון בין חשיפה לתיקון מלא הוא כאשר האינטרנט חשוף ביותר.

מה מפעילי האתר צריכים לעשות עכשיו

עבור ארגונים שעדיין חשופים, ההנחיה מסוכנויות עקבית: שדרג לגרסה המתוקנת העדכנית ביותר של PHP באופן מיידי, ודא שהתיקונים מיושמים בצורה נקייה, ובמקומות שבהם המערכות ישנות מכדי לקבל את התיקון, לבודד או להחליף אותן. האזהרה של ה-NCSC כי לא ניתן לתקן כלל מערכות מדור קודם מצביעות על כך שהזנב הארוך של הפגיעות הזו יימשך הרבה מעבר למצב החירום הנוכחי.

הפרק גם מיישב ויכוח על מחקר התקפי בעזרת בינה מלאכותית. מה שהיה תיאורטי לפני שבוע הוא כעת תקרית עולמית חיה: מערכת בינה מלאכותית מצאה דרך לנשק באגים שלא נוצלו במשך עשרות שנים, וכל ממשלה באינטרנט מבלה כעת את השבוע שלה בניקוי.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →