PHP2Shell असुरक्षिततेचा परिणाम हा इंटरनेटच्या सर्वात मोठ्या समन्वित आणीबाणीच्या प्रतिसादांपैकी एक म्हणून वाढला आहे, ज्यामध्ये सरकार सावधगिरी म्हणून वेबसाइट्स ऑफलाइन खेचत आहे आणि सुरक्षा कंपन्या PHP प्रोग्रामिंग भाषा चालवणाऱ्या वेबसाइट्सच्या विरोधात लाखो शोषणाच्या प्रयत्नांची तक्रार करत आहेत, जे जगातील सुमारे 70 टक्के साइट्सला अधोरेखित करते.
काही तासांत लाखो शोषणाचे प्रयत्न For more context on this story, see our ongoing more AI stories.
द गार्डियनच्या म्हणण्यानुसार, क्लाउडफ्लेअरचे सीईओ मॅथ्यू प्रिन्स म्हणाले की त्यांच्या कंपनीने असुरक्षा सार्वजनिक झाल्यानंतर पहिल्या 45 मिनिटांत शोषणाचे हजारो प्रयत्न नोंदवले, दोन तासांत शेकडो हजारांवर आणि "आता लाखो" झाले. क्लाउडफ्लेअरने दोष सार्वजनिकरित्या घोषित होण्यापूर्वी 10 तासांत हजारो प्रयत्न पाहिल्याचा अहवाल दिला, या तपशीलाने प्रकटीकरण कसे हाताळले गेले याबद्दल चिंता वाढवली आहे.
Amazon Threat Intelligence ने सांगितले की PHP2Shell चे "आता जंगलात मोठ्या प्रमाणावर शोषण केले जात आहे" आणि PHP विकसकांनी बुधवारी फिक्स जारी करण्यापूर्वीच असुरक्षिततेचे भांडवल करण्याचे मार्ग शोधण्यासाठी अनेक अभिनेत्यांकडून अनेक प्रयत्न ओळखले. युनिव्हर्सिटी ऑफ सरेचे सुरक्षा प्राध्यापक ॲलन वुडवर्ड यांनी वृत्तपत्राला सांगितले की पॅच उपलब्ध होण्याच्या एक दिवस आधी हा दोष उघड झाला होता, "कोणीतरी मांजरीला पिशवीतून बाहेर काढू द्या."
सरकारे पॅच करण्यासाठी साइट्स ऑफलाइन घेतात
प्रतिसाद विलक्षण तीव्र आहे. युनायटेड किंगडममध्ये, सायबरसुरक्षा मंत्री लिझ लॉयड यांनी संसदेत सांगितले की 32 सरकारी सेवा ऑफलाइन घेण्यात आल्या आहेत, अद्यतने लागू करताना मोठ्या प्रमाणात सावधगिरीचे असे वर्णन केले आहे. डाउनिंग स्ट्रीटने सांगितले की कोणत्याही सार्वजनिक-मुख्य गंभीर सेवांवर परिणाम झाला नाही आणि काही मर्यादित सेवा तात्पुरत्या अनुपलब्ध असू शकतात, परंतु याचा अर्थ असा नाही की त्या हॅक झाल्या आहेत.
यूकेच्या नॅशनल सायबर सिक्युरिटी सेंटरने प्रभावित संस्थांना 50,000 अलर्ट पाठवले आणि सांगितले की त्यांना यशस्वी हॅकचा कोणताही अहवाल प्राप्त झाला नाही. एजन्सीने असुरक्षिततेचे प्रमाण "अभूतपूर्व" म्हणून वर्णन केले आणि चेतावणी दिली की पॅच जुन्या सिस्टम चालविणाऱ्या काही संस्थांसाठी कार्य करणार नाही, ज्यांना त्यांना पूर्णपणे पुनर्स्थित करणे आवश्यक आहे. तात्पुरत्या कालबाह्यतेमुळे प्रभावित झालेल्या साइट्समध्ये BBC ची ट्रायटर्स शो वेबसाइट, इंटरनेट आर्काइव्ह, विकिपीडिया आणि 4Chan यांचा समावेश आहे.
युनायटेड स्टेट्समध्ये, नॅशनल सिक्युरिटी एजन्सीने एक सल्लागार इशारा जारी केला आहे की दोष हल्लेखोरांना वेब सर्व्हरवर नियंत्रण ठेवू शकतात, संवेदनशील डेटा चोरू शकतात, सेवांमध्ये व्यत्यय आणू शकतात आणि तडजोड केलेल्या नेटवर्कमध्ये खोलवर जाऊ शकतात. "सायबर-अभिनेते PHP2Shell ला शस्त्र बनवण्याची शक्यता आहे," एजन्सीने सांगितले की, जोखीम "इतके गंभीर आहेत की यूएस सरकारी विभाग आणि एजन्सींमध्ये त्वरित पॅचिंग आवश्यक आहे."
आपत्कालीन प्रतिसादाने त्वरीत सीमा ओलांडल्या. दक्षिण कोरियाने आपत्कालीन प्रतिसाद उपाय सक्रिय केले, खाजगी क्षेत्रातील सायबरसुरक्षा इशारा पातळी वाढवली आणि हजारो कंपन्यांना मार्गदर्शन जारी केले. चीनच्या उद्योग मंत्रालयाने संस्थांना त्यांच्या सिस्टमची तपासणी करण्याचे, PHP च्या नवीनतम सुरक्षित आवृत्तीमध्ये अपग्रेड करण्याचे आणि संकेतशब्द आणि की बदलण्याचे आवाहन केले. जपानच्या पंतप्रधानांनी व्यवसायांना असुरक्षा पॅच करण्यासाठी किंवा त्यांच्या साइट बंद करण्यासाठी प्रोत्साहित केले.
PHP2Shell ला ऐतिहासिक का म्हटले जात आहे
एनसीएससीचे माजी मुख्य कार्यकारी सियारन मार्टिन यांनी या त्रुटीचे वर्णन "अत्यंत वाईट" आणि "पाच वर्षांपासून शोधलेली सर्वात गंभीर असुरक्षा" असे केले. असुरक्षिततेचा पर्दाफाश करणाऱ्या संशोधन संस्थांपैकी एक असलेल्या विझने म्हटले आहे की हे आतापर्यंत सापडलेल्या सर्वात गंभीर सॉफ्टवेअर त्रुटींपैकी एक आहे.
भेद्यतेचे मूळ हे AI सुरक्षेसाठी एक महत्त्वाची खूण आहे. विझच्या मते, अंतर्निहित PHP त्रुटी अनेक दशकांपासून अस्तित्वात होत्या, परंतु ते प्रत्यक्षात शोषण करण्यायोग्य असल्याचे दाखवण्यासाठी मानवी संशोधक व्यावहारिकदृष्ट्या काय साध्य करू शकतात याच्या काठावर एक अपवादात्मक जटिल चरणांची साखळी आवश्यक आहे. "फ्रंटियर एआय मॉडेल्सने तो अडथळा बऱ्याच प्रमाणात कमी केला आणि दीर्घकाळ चाललेल्या त्रुटीचे शोषण केले," कंपनीने आपल्या ब्लॉग पोस्टमध्ये लिहिले.
NSA चे चेतावणी केंद्रे हल्लेखोर प्रवेशासह काय करू शकतात. इंटरनेट इन्फ्रास्ट्रक्चर तज्ज्ञ Michał Woźniak यांनी द गार्डियनला सांगितले की, प्रमुख वेबसाइट्स मौल्यवान संगणकीय शक्ती, सर्व्हर आणि IP पत्ते नियंत्रित करत असल्याने विरोधी कलाकार उघड साइट्सची "संसाधने हस्तगत करू शकतात". गुन्हेगारी गट तडजोड केलेल्या साइट्समध्ये हल्ले सुरू करण्यासाठी घरटे बनवू शकतात जे त्यांना परत शोधता येत नाहीत, तर क्रिप्टो खाण कामगार विनामूल्य ऊर्जा-केंद्रित गणना चालविण्यासाठी सर्व्हरचे अपहरण करू शकतात. बऱ्याच प्रकरणांमध्ये, त्यांनी नमूद केले की, साइट मालकांना तडजोडीची माहिती देखील नसते.
अलार्म दरम्यान सावधगिरीची सूचना
नुकसान झाले आहे असे प्रत्येकाला वाटत नाही. सायबर सिक्युरिटी कंपनी कॅलिफचे संशोधक रायन ऑस्टिन, जो दोष शोधण्यात महत्त्वाचा होता, त्यांनी द गार्डियनला सांगितले की "याक्षणी असे दिसत नाही की शोषण बंद झाले आहे किंवा व्यापक झाले आहे." ब्रिटीश चेंबर्स ऑफ कॉमर्सने सांगितले की या व्यत्ययामुळे यूके कंपन्यांसाठी अद्याप महत्त्वपूर्ण अडचणी उद्भवल्या नाहीत.
GCHQ चे माजी प्रमुख सर डेव्हिड ओमांड यांनी मात्र चेतावणी दिली की रशिया आणि चीनसह राज्य शत्रू संरक्षण पूर्णपणे ठिकाणी येण्यापूर्वी बगचा फायदा घेण्याचा प्रयत्न करू शकतात, हे एक स्मरणपत्र आहे की प्रकटीकरण आणि पूर्ण उपाय यामधील विंडो जेव्हा इंटरनेट सर्वात जास्त उघड होते.
साइट ऑपरेटरने आता काय करावे
अद्याप उघड झालेल्या संस्थांसाठी, एजन्सींचे मार्गदर्शन सुसंगत आहे: ताबडतोब PHP च्या नवीनतम पॅच केलेल्या आवृत्तीवर श्रेणीसुधारित करा, पॅचेस स्वच्छपणे लागू केले आहेत याची पडताळणी करा आणि जिथे प्रणाली निराकरण स्वीकारण्यासाठी खूप जुन्या आहेत, त्यांना वेगळे करा किंवा पुनर्स्थित करा. NCSC चे चेतावणी की काही वारसा प्रणाली अजिबात पॅच केल्या जाऊ शकत नाहीत हे सूचित करते की या असुरक्षिततेची लांब शेपटी सध्याच्या आणीबाणीच्या पलीकडेही टिकून राहील.
एपिसोड AI-सहाय्यित आक्षेपार्ह संशोधनाविषयी वादविवाद देखील सोडवतो. एक आठवड्यापूर्वी जे सैद्धांतिक होते ते आता थेट जागतिक घटना आहे: एआय प्रणालीने अनेक दशकांपासून अव्यावसायिक बसलेल्या बगला शस्त्र बनवण्याचा मार्ग शोधला आहे आणि इंटरनेटवरील प्रत्येक सरकार आता आपला आठवडा साफ करण्यात घालवत आहे.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
