PHP2Shell பாதிப்பின் விளைவு, பல ஆண்டுகளாக இணையத்தின் மிகப்பெரிய ஒருங்கிணைந்த அவசரகால பதில்களில் ஒன்றாக மாறியுள்ளது, அரசாங்கங்கள் முன்னெச்சரிக்கையாக இணையதளங்களை ஆஃப்லைனில் இழுத்துள்ளன மற்றும் பாதுகாப்பு நிறுவனங்கள் PHP நிரலாக்க மொழியை இயக்கும் வலைத்தளங்களுக்கு எதிராக மில்லியன் கணக்கான சுரண்டல் முயற்சிகளைப் புகாரளிக்கின்றன.
மணிநேரத்திற்குள் மில்லியன் கணக்கான சுரண்டல் முயற்சிகள் For more context on this story, see our ongoing AI industry coverage.
தி கார்டியனின் கூற்றுப்படி, கிளவுட்ஃப்ளேர் தலைமை நிர்வாக அதிகாரி மேத்யூ பிரின்ஸ், பாதிப்பு பகிரங்கமான முதல் 45 நிமிடங்களில் தனது நிறுவனம் பல்லாயிரக்கணக்கான சுரண்டல் முயற்சிகளைப் பதிவுசெய்தது, இரண்டு மணி நேரத்திற்குள் நூறாயிரக்கணக்கான மற்றும் "இப்போது மில்லியன் கணக்கில்" உயர்ந்துள்ளது. Cloudflare, குறைபாடு பகிரங்கமாக அறிவிக்கப்படுவதற்கு 10 மணி நேரத்திற்குள் ஆயிரக்கணக்கான முயற்சிகளைப் பார்த்ததாக அறிவித்தது, இது வெளிப்படுத்தல் எவ்வாறு கையாளப்பட்டது என்பது பற்றிய கவலையைத் தூண்டியது.
அமேசான் அச்சுறுத்தல் நுண்ணறிவு PHP2Shell "இப்போது காடுகளில் பரவலாக சுரண்டப்படுகிறது" மற்றும் PHP டெவலப்பர்கள் புதன்கிழமை தீர்வை வெளியிடுவதற்கு முன்பே பல நடிகர்களின் பல முயற்சிகளை அடையாளம் கண்டுள்ளது. சர்ரே பல்கலைக்கழகத்தின் பாதுகாப்பு பேராசிரியர் ஆலன் உட்வார்ட் செய்தித்தாளிடம், "யாராவது பூனையை பையில் இருந்து வெளியே விடுங்கள்" என்று கூறி, பேட்ச் கிடைப்பதற்கு ஒரு நாள் முன்பு குறைபாடு வெளிப்படுத்தப்பட்டது.
அரசாங்கங்கள் தளங்களை ஆஃப்லைனில் இணைக்கின்றன
பதில் வழக்கத்திற்கு மாறாக கடுமையாக உள்ளது. யுனைடெட் கிங்டமில், இணையப் பாதுகாப்பு அமைச்சர் லிஸ் லாயிட் பாராளுமன்றத்தில் 32 அரசாங்க சேவைகள் ஆஃப்லைனில் எடுக்கப்பட்டுள்ளன என்று கூறினார், புதுப்பிப்புகள் பயன்படுத்தப்படும்போது இந்த நடவடிக்கை பெரும்பாலும் முன்னெச்சரிக்கை நடவடிக்கை என்று விவரித்தார். டவுனிங் ஸ்ட்ரீட், பொதுமக்கள் எதிர்கொள்ளும் முக்கியமான சேவைகள் எதுவும் பாதிக்கப்படவில்லை என்றும், சில வரையறுக்கப்பட்ட சேவைகள் தற்காலிகமாக கிடைக்காமல் போகலாம் என்றும், ஆனால் இது அவர்கள் ஹேக் செய்யப்பட்டதாக அர்த்தமல்ல என்று வலியுறுத்தினார்.
இங்கிலாந்தின் தேசிய சைபர் பாதுகாப்பு மையம் பாதிக்கப்பட்ட நிறுவனங்களுக்கு 50,000 விழிப்பூட்டல்களை அனுப்பியது மற்றும் வெற்றிகரமான ஹேக்குகள் பற்றிய எந்த அறிக்கையும் கிடைக்கவில்லை என்று கூறியது. ஏஜென்சி பாதிப்பின் அளவை "முன்னோடியில்லாதது" என்று விவரித்தது மற்றும் பழைய அமைப்புகளை இயக்கும் சில நிறுவனங்களுக்கு பேட்ச் வேலை செய்யாது, அவற்றை முழுவதுமாக மாற்ற வேண்டும் என்று எச்சரித்தது. பிபிசியின் துரோகிகள் நிகழ்ச்சி இணையதளம், இணையக் காப்பகம், விக்கிபீடியா மற்றும் 4சான் ஆகியவை தற்காலிக செயலிழப்புகளால் பாதிக்கப்பட்டதாகக் கூறப்படுகிறது.
யுனைடெட் ஸ்டேட்ஸில், தேசிய பாதுகாப்பு நிறுவனம் ஒரு ஆலோசனை எச்சரிக்கையை வெளியிட்டது, இந்த குறைபாடு தாக்குபவர்கள் வலை சேவையகங்களின் கட்டுப்பாட்டைக் கைப்பற்றலாம், முக்கியமான தரவைத் திருடலாம், சேவைகளை சீர்குலைக்கலாம் மற்றும் சமரசம் செய்யப்பட்ட நெட்வொர்க்குகளில் ஆழமாக செல்லலாம். "சைபர்-நடிகர்கள் PHP2Shell ஐ ஆயுதமாக்க வாய்ப்புள்ளது," என்று ஏஜென்சி கூறியது, "அமெரிக்க அரசு துறைகள் மற்றும் ஏஜென்சிகள் முழுவதும் உடனடி இணைப்பு தேவைப்படும் அளவுக்கு அபாயங்கள் தீவிரமானவை."
அவசரகால பதில் விரைவாக எல்லைகளை கடந்தது. தென் கொரியா அவசரகால பதிலளிப்பு நடவடிக்கைகளை செயல்படுத்தியது, அதன் தனியார் துறை இணைய பாதுகாப்பு எச்சரிக்கை அளவை உயர்த்தியது மற்றும் பல்லாயிரக்கணக்கான நிறுவனங்களுக்கு வழிகாட்டுதலை வழங்கியது. சீனாவின் தொழில்துறை அமைச்சகம் நிறுவனங்கள் தங்கள் அமைப்புகளை ஆய்வு செய்யவும், PHP இன் சமீபத்திய பாதுகாப்பான பதிப்பிற்கு மேம்படுத்தவும் மற்றும் கடவுச்சொற்கள் மற்றும் விசைகளை மாற்றவும் வலியுறுத்தியது. ஜப்பானின் பிரதம மந்திரி வணிகங்களை பாதிப்பை சரிசெய்ய அல்லது அவர்களின் தளங்களை மூடுவதை ஊக்குவித்தார்.
PHP2Shell ஏன் வரலாற்றுச் சிறப்புமிக்கது என அழைக்கப்படுகின்றது
NCSC இன் முன்னாள் தலைமை நிர்வாகி சியாரன் மார்ட்டின், இந்த குறைபாட்டை "மிக மோசமானது" மற்றும் "ஐந்தாண்டுகளாக கண்டுபிடிக்கப்பட்ட மிக மோசமான பாதிப்பு" என்று விவரித்தார். பாதிப்பை வெளிப்படுத்திய ஆராய்ச்சி நிறுவனங்களில் ஒன்றான விஸ், இதுவரை கண்டுபிடிக்கப்பட்ட மிகக் கடுமையான மென்பொருள் குறைபாடுகளில் ஒன்றாக இது இருப்பதாகக் கூறியுள்ளது.
பாதிப்பின் தோற்றம்தான் AI பாதுகாப்பிற்கான முக்கிய அடையாளமாக அமைகிறது. விஸின் கூற்றுப்படி, அடிப்படை PHP குறைபாடுகள் பல தசாப்தங்களாக உள்ளன, ஆனால் அவை உண்மையில் சுரண்டக்கூடியவை என்பதை நிரூபிக்க, மனித ஆராய்ச்சியாளர்கள் நடைமுறையில் அடையக்கூடியவற்றின் விளிம்பில் விதிவிலக்கான சிக்கலான படிகள் தேவை. "எல்லைப்புற AI மாதிரிகள் அந்த தடையை கணிசமாகக் குறைத்தன, நீண்டகால குறைபாட்டை ஒரு சுரண்டலாக மாற்றியது" என்று நிறுவனம் தனது வலைப்பதிவு இடுகையில் எழுதியது.
அணுகல் மூலம் தாக்குபவர்கள் என்ன செய்ய முடியும் என்பதை NSA இன் எச்சரிக்கை மையமாக கொண்டுள்ளது. இணைய உள்கட்டமைப்பு நிபுணர் Michał Woźniak தி கார்டியனிடம் கூறுகையில், முக்கிய இணையதளங்கள் மதிப்புமிக்க கம்ப்யூட்டிங் சக்தி, சர்வர்கள் மற்றும் IP முகவரிகளைக் கட்டுப்படுத்துவதால், விரோதமான நடிகர்கள் வெளிப்படும் தளங்களின் "வளங்களை கைப்பற்றலாம்" என்று கூறினார். கிரிமினல் குழுக்கள் சமரசம் செய்யப்பட்ட தளங்களுக்குள் கூடு கட்ட முடியும், அது அவர்களைக் கண்டறிய முடியாத தாக்குதல்களைத் தொடங்கலாம், அதே நேரத்தில் கிரிப்டோ சுரங்கத் தொழிலாளர்கள் ஆற்றல்-தீவிர கணக்கீடுகளை இலவசமாக இயக்க சர்வர்களைக் கடத்தலாம். பல சந்தர்ப்பங்களில், தள உரிமையாளர்கள் சமரசம் பற்றி அறிந்திருக்க மாட்டார்கள் என்று அவர் குறிப்பிட்டார்.
அலாரத்தின் மத்தியில் ஒரு எச்சரிக்கை குறிப்பு
சேதம் ஏற்பட்டதாக எல்லோரும் நம்புவதில்லை. Cybersecurity நிறுவனமான Calif இன் ஆராய்ச்சியாளரான Ryan Austin, இந்தக் குறைபாட்டைக் கண்டுபிடிப்பதில் முக்கிய பங்கு வகித்தவர், The Guardian இடம், "தற்போது அது சுரண்டல் எடுக்கப்பட்டதாகவோ அல்லது பரவலானதாகவோ தெரியவில்லை" என்று கூறினார். இந்த இடையூறு இன்னும் இங்கிலாந்து நிறுவனங்களுக்கு குறிப்பிடத்தக்க சிரமங்களை ஏற்படுத்தவில்லை என்று பிரிட்டிஷ் சேம்பர்ஸ் ஆஃப் காமர்ஸ் கூறியது.
எவ்வாறாயினும், GCHQ இன் முன்னாள் தலைவர் சர் டேவிட் ஓமண்ட், ரஷ்யா மற்றும் சீனா உள்ளிட்ட அரசு எதிரிகள் பாதுகாப்பு முழுமையாக செயல்படுவதற்கு முன்பு பிழையைப் பயன்படுத்த முற்படலாம் என்று எச்சரித்தார், இது இணையம் மிகவும் வெளிப்படும் போது வெளிப்படுத்துதலுக்கும் முழு தீர்வுக்கும் இடையிலான சாளரம் என்பதை நினைவூட்டுகிறது.
தள ஆபரேட்டர்கள் இப்போது என்ன செய்ய வேண்டும்
இன்னும் வெளிப்படும் நிறுவனங்களுக்கு, ஏஜென்சிகளின் வழிகாட்டுதல் சீரானது: PHP இன் சமீபத்திய பேட்ச் செய்யப்பட்ட பதிப்பிற்கு உடனடியாக மேம்படுத்தவும், பேட்ச்கள் சுத்தமாகப் பயன்படுத்தப்பட்டுள்ளதா என்பதைச் சரிபார்க்கவும், மேலும் அவற்றை சரிசெய்ய, தனிமைப்படுத்த அல்லது மாற்றுவதற்கு அமைப்புகள் மிகவும் பழமையானவையாக இருந்தால். சில மரபு அமைப்புகளை ஒட்டவே முடியாது என்ற NCSCயின் எச்சரிக்கை, இந்த பாதிப்பின் நீண்ட வால் தற்போதைய அவசரநிலைக்கு அப்பால் தொடர்ந்து நீடிக்கும் என்று தெரிவிக்கிறது.
எபிசோட் AI-உதவி தாக்குதல் ஆராய்ச்சி பற்றிய விவாதத்தையும் தீர்க்கிறது. ஒரு வாரத்திற்கு முன்பு கோட்பாட்டு ரீதியாக இருந்தது இப்போது ஒரு நேரடி உலகளாவிய சம்பவம்: பல தசாப்தங்களாக சுரண்டப்படாமல் இருந்த பிழைகளை ஆயுதமாக்க ஒரு AI அமைப்பு ஒரு வழியைக் கண்டறிந்தது, மேலும் இணையத்தில் உள்ள ஒவ்வொரு அரசாங்கமும் இப்போது அதன் வாரத்தை சுத்தம் செய்வதில் செலவிடுகிறது.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
