PHP2Shell jako sygnał alarmowy: internet stoi na starym kodzie, a AI skraca czas na łatanie

Komunikat był nietypowo ostry: właściciele stron mieli natychmiast załatać PHP, a jeśli nie mogli, wyłączyć serwis. W najnowszym odcinku podcastu Equity, którego zapis opublikował TechCrunch na Yahoo, Kirsten Korosec, Sean O’Kane i Anthony Ha rozmawiają o tym, co ten komunikat mówi o kondycji sieci. Chodzi o wnioski, które z niego wyciągają dziennikarze.

Kto właściwie znalazł lukę

Zapis rozmowy zawiera ważne sprostowanie. Ha początkowo twierdził, że podatności wykryły modele językowe. TechCrunch dopisał jednak korektę: luki znaleźli badacze biorący udział w inicjatywie OpenAI i Wiz (spółki należącej dziś do Google), a AI posłużyła im do wykorzystania błędu. To rozróżnienie jest istotne. Wiz Research mówił w wypowiedzi cytowanej przez NPR, że modele AI znacząco obniżyły barierę, zamieniając wieloletnią wadę w działający exploit. Człowiek wciąż szuka, ale droga od znaleziska do ataku robi się krótsza.

Ha zwraca też uwagę, że sama luka istnieje w PHP od dziesięcioleci, tyle że nikt o niej nie wiedział. Rachunek jest prosty: skoro da się ją znaleźć z pomocą modeli, mogą to zrobić także inni. Aby wydać łatkę, trzeba jednak błąd ujawnić, a to uruchamia wyścig.

Wyścig, którego nie dało się wyciszyć

O’Kane przypomina, że w cyberbezpieczeństwie zwykle zgłasza się podatność producentowi i sprawa zostaje w tej „bańce”. Tutaj to nie działa, bo PHP leży u podstaw ogromnej części sieci i nie ma jak dyskretnie powiadomić wszystkich zainteresowanych. Półżartem dodaje, że może dałoby się to zrobić, gdyby miliard agentów AI wysłał maile do każdego, kto ma kontrolę nad jakąś stroną. Tęskni też za czasami, gdy każdy serwis miał łatwo rozpoznawalnego webmastera.

Dochodzą do tego problemy z samym ujawnieniem. O’Kane mówi o niezadowoleniu w branży z przebiegu publikacji i z tonu wpisu OpenAI. Według niego kilka osób wyprzedziło embargo, co rozpoczęło wyścig wśród hakerów. Matthew Prince, szef Cloudflare, napisał o rosnącej do milionów liczbie prób ataków z użyciem PHP2Shell. Skalę prób opisuje też Nextgov. Z kolei The Next Web już w tytule zaznacza, że mimo milionów prób nie potwierdzono udanych włamań.

Skala i ci, którzy nie mają zespołu bezpieczeństwa

Korosec podkreśla, że wiele osób nie wie, że ich strona w ogóle działa na PHP. Język stoi za systemami zarządzania treścią, takimi jak WordPress czy Drupal, i według niej obsługuje około 70 proc. witryn, czyli dziesiątki milionów. Dla niej to właśnie skala jest najbardziej niepokojąca.

Wskazuje też, że Amazon opisał w swoim blogu próby wykorzystania luki, zanim została oficjalnie ogłoszona. Firma zauważyła je w sieci pułapek (honeypotów). Amazon ma jednak środki i ludzi, by takie rzeczy wychwytywać. Wiele małych serwisów, a potencjalnie także rządowych, nie ma takiej uwagi. Korosec spekuluje, że część pracowników branży AI potraktuje to jako zapowiedź jeszcze czarniejszych scenariuszy: banki mogłyby paść ofiarą ataków, a problemy z danymi i prywatnością rosłyby szybciej, niż da się je naprawiać. To jej obawa, nie ustalenie.

Korosec powołuje się również na rozbiór sprawy w 404 Media i wskazuje na zjawisko link rot. Osoby, firmy i instytucje, które zamiast łatać, wyłączą stronę, zostawią po sobie martwe adresy. Niektóre małe serwisy, nawet z kawałkiem historii internetu, mogą nie wrócić.

O’Kane nazywa całość „momentem rozliczenia”. Przez lata, jak mówi, internet ratował co jakiś czas pojedynczy opiekun małego repozytorium, który zauważył coś niepokojącego. Teraz każdy może zlecić to samo modelom i agentom AI, a na samym dnie sieci wszystko „trzyma się na kleju i marzeniach”. Korosec ciekawi, czy wokół tego powstaną nowe startupy zajmujące się zabezpieczeniami albo czy firmy sięgną po otwarte narzędzia, jak te oferowane przez Nvidię.