Le conseguenze della vulnerabilità PHP2Shell si sono trasformate in una delle più grandi risposte di emergenza coordinate degli ultimi anni, con i governi che hanno messo offline i siti web come precauzione e le società di sicurezza che hanno segnalato milioni di tentativi di sfruttamento contro i siti web che utilizzano il linguaggio di programmazione PHP, che è alla base di circa il 70% dei siti mondiali.
Milioni di tentativi di exploit in poche ore Per maggiori informazioni su questa storia, consulta la nostra tendenze IA.
Secondo The Guardian, il CEO di Cloudflare Matthew Prince ha affermato che la sua azienda ha registrato decine di migliaia di tentativi di sfruttamento nei primi 45 minuti dopo che la vulnerabilità è diventata pubblica, arrivando a centinaia di migliaia entro due ore e "a milioni ora". Cloudflare ha inoltre riferito di aver visto migliaia di tentativi nelle 10 ore precedenti l'annuncio pubblico della falla, un dettaglio che ha alimentato preoccupazioni su come è stata gestita la divulgazione.
Amazon Threat Intelligence ha affermato che PHP2Shell "è ora ampiamente sfruttato in natura" e che ha identificato diversi tentativi da parte di più attori di trovare modi per sfruttare la vulnerabilità anche prima che gli sviluppatori PHP rilasciassero la correzione mercoledì. Il professore di sicurezza Alan Woodward dell'Università del Surrey ha detto al giornale che il difetto è stato rivelato un giorno prima che la patch fosse disponibile, dicendo che "qualcuno ha fatto uscire il gatto dal sacco".
I governi mettono i siti offline per patchare
La risposta è stata insolitamente drastica. Nel Regno Unito, il ministro della sicurezza informatica Liz Lloyd ha dichiarato al Parlamento che 32 servizi governativi sono stati messi offline, descrivendo la mossa come in gran parte precauzionale mentre venivano applicati gli aggiornamenti. Downing Street ha affermato che nessun servizio critico rivolto al pubblico è stato colpito e che alcuni servizi limitati potrebbero essere temporaneamente non disponibili, ma ha sottolineato che ciò non significa che siano stati violati.
Il National Cyber Security Centre del Regno Unito ha inviato 50.000 avvisi alle organizzazioni colpite e ha affermato di non aver ricevuto segnalazioni di attacchi hacker riusciti. L'agenzia ha descritto la portata della vulnerabilità come "senza precedenti" e ha avvertito che la patch non funzionerà per alcune organizzazioni che utilizzano sistemi più vecchi, che dovranno sostituirli completamente. Secondo quanto riferito, i siti interessati da interruzioni temporanee includevano il sito web dello spettacolo Traitors della BBC, Internet Archive, Wikipedia e 4Chan.
Negli Stati Uniti, la National Security Agency ha emesso un avvertimento secondo cui la falla potrebbe consentire agli aggressori di prendere il controllo dei server web, rubare dati sensibili, interrompere servizi e penetrare più in profondità nelle reti compromesse. "È probabile che i cyber-attori utilizzino PHP2Shell come un'arma", ha affermato l'agenzia, aggiungendo che i rischi "sono abbastanza gravi da richiedere patch immediate in tutti i dipartimenti e le agenzie governative degli Stati Uniti".
La risposta all’emergenza ha attraversato rapidamente i confini. La Corea del Sud ha attivato misure di risposta all’emergenza, ha aumentato il livello di allerta sulla sicurezza informatica nel settore privato e ha fornito linee guida a decine di migliaia di aziende. Il ministero dell'Industria cinese ha esortato le organizzazioni a ispezionare i propri sistemi, ad aggiornarsi all'ultima versione sicura di PHP e a modificare password e chiavi. Il primo ministro giapponese ha incoraggiato le aziende a correggere la vulnerabilità o a chiudere i propri siti.
Perché PHP2Shell viene definito storico
Ciaran Martin, ex amministratore delegato dell'NCSC, ha descritto la falla come "molto grave" e "la vulnerabilità più grave scoperta negli ultimi cinque anni". Wiz, una delle organizzazioni di ricerca che ha scoperto la vulnerabilità, ha affermato che è probabilmente tra i difetti software più gravi mai scoperti.
L'origine della vulnerabilità è ciò che la rende un punto di riferimento per la sicurezza dell'intelligenza artificiale. Secondo Wiz, i difetti di PHP alla base erano presenti da decenni, ma dimostrare che fossero effettivamente sfruttabili richiedeva una catena di passaggi eccezionalmente complessa, al limite di ciò che i ricercatori umani potevano praticamente ottenere. "I modelli di intelligenza artificiale di frontiera hanno sostanzialmente ridotto quella barriera, trasformando un difetto di vecchia data in un exploit", ha scritto l'azienda nel suo post sul blog.
L'allarme della NSA si concentra su cosa potrebbero fare gli aggressori con l'accesso. L'esperto di infrastrutture Internet Michał Woźniak ha dichiarato al Guardian che attori ostili potrebbero "impossessarsi delle risorse" dei siti esposti, poiché i principali siti Web controllano preziosa potenza di calcolo, server e indirizzi IP. I gruppi criminali potrebbero annidarsi all'interno di siti compromessi per lanciare attacchi che non possono essere ricondotti a loro, mentre i minatori di criptovalute potrebbero dirottare i server per eseguire gratuitamente calcoli ad alta intensità energetica. In molti casi, ha osservato, i proprietari dei siti non sarebbero nemmeno a conoscenza della compromissione.
Una nota di cautela in mezzo all'allarme
Non tutti credono che il danno sia fatto. Ryan Austin, un ricercatore della società di sicurezza informatica Calif che ha avuto un ruolo chiave nella scoperta della falla, ha detto al Guardian che "al momento non sembra che lo sfruttamento sia decollato o sia stato diffuso". Le Camere di commercio britanniche hanno affermato che l’interruzione non ha ancora causato difficoltà significative alle aziende britanniche.
L’ex capo del GCHQ Sir David Omand, tuttavia, ha avvertito che gli stati avversari, tra cui Russia e Cina, potrebbero cercare di sfruttare il bug prima che le difese siano completamente in atto, ricordando che la finestra tra la divulgazione e la completa riparazione è quando Internet è più esposta.
Cosa dovrebbero fare ora gli operatori del sito
Per le organizzazioni ancora esposte, la guida delle agenzie è coerente: aggiornare immediatamente all’ultima versione di PHP con patch, verificare che le patch siano applicate in modo pulito e, laddove i sistemi sono troppo vecchi per accettare la correzione, isolarli o sostituirli. L'avvertimento del NCSC secondo cui alcuni sistemi legacy non possono essere riparati affatto suggerisce che la lunga coda di questa vulnerabilità persisterà ben oltre l'attuale emergenza.
L'episodio risolve anche un dibattito sulla ricerca offensiva assistita dall'intelligenza artificiale. Ciò che era teorico una settimana fa è ora un incidente globale in diretta: un sistema di intelligenza artificiale ha trovato il modo di sfruttare come armi i bug rimasti inutilizzati per decenni, e ogni governo su Internet sta ora trascorrendo la settimana a ripulire.
---
Rimani Aggiornato sull'IALe ultime notizie, analisi e scoperte sull'intelligenza artificiale — tutto in un posto.
Leggi altre notizie sull'IA →
