Συναγερμός από το FBI για την PHP: «Θέστε τα συστήματα εκτός σύνδεσης μέχρι να αντιμετωπιστεί πλήρως ο κίνδυνος»

Σε αγώνα δρόμου για την εσπευσμένη ενσωμάτωση κρίσιμων ενημερώσεων ασφαλείας έχουν επιδοθεί κυβερνητικά επιτελεία και επιχειρηματικοί κολοσσοί παγκοσμίως, στον απόηχο της αποκάλυψης σοβαρών ευπαθειών με τη συνδρομή της τεχνητής νοημοσύνης σε μια γλώσσα προγραμματισμού που αποτελεί τη ραχοκοκαλιά για το 70% των ιστοσελίδων διεθνώς.

Αν και η πλειονότητα των κρατικών διαδικτυακών πυλών λειτουργούσε ομαλά την Πέμπτη, σε ορισμένες περιπτώσεις συνεχίζονταν οι αρρυθμίες ή η αναστολή υπηρεσιών, όσο βρίσκονταν σε εξέλιξη οι τεχνικές παρεμβάσεις θωράκισης.

Το τμήμα κυβερνοασφάλειας του FBI απηύθυνε αυστηρή προειδοποίηση την Τετάρτη, επισημαίνοντας ότι τα εν λόγω κενά ασφαλείας θα μπορούσαν να προσφέρουν σε κακόβουλους εισβολείς τη δυνατότητα απομακρυσμένης εκτέλεσης κώδικα στην PHP, τη βασική γλώσσα που υποστηρίζει πλήθος διαδικτυακών εφαρμογών.

Εξαιτίας αυτής της κατάστασης κλιμακώνεται κατακόρυφα ο κίνδυνος για υποκλοπή ευαίσθητων δεδομένων και παραβίαση δικτύων, με την αμερικανική υπηρεσία να συστήνει στους διαχειριστές την άμεση απόσυρση των ιστοτόπων από το διαδίκτυο εφόσον δεν είναι εφικτή η ακαριαία αναβάθμισή τους. Αναλύοντας τα δεδομένα στο Associated Press, ειδικοί του κλάδου εκτίμησαν ότι οι αναταράξεις θα διατηρηθούν για αρκετό διάστημα, υπογραμμίζοντας πάντως ότι η προσωρινή αναστολή λειτουργίας των συστημάτων αποτελεί την ενδεδειγμένη τακτική πρόληψης.

Στη Βρετανία, το πρωθυπουργικό γραφείο γνωστοποίησε ότι ορισμένες δευτερεύουσες κυβερνητικές υπηρεσίες ενδέχεται να τεθούν παροδικά εκτός σύνδεσης για την εξάλειψη πιθανών σημείων έκθεσης.

«Έχουν ήδη δρομολογηθεί εκτεταμένοι έλεγχοι σε όλη την κρατική υποδομή για τον εντοπισμό και την αποκατάσταση τρωτών σημείων. Παράλληλα, οι ειδικοί μας διατηρούν στενή συνεργασία με την OpenAI και διεθνείς οργανισμούς», δήλωσε εκπρόσωπος την Πέμπτη.

«Ουδεμία κρίσιμη δημόσια υπηρεσία έχει επηρεαστεί. Ωστόσο, ορισμένες μεμονωμένες πλατφόρμες ενδέχεται να τεθούν προσωρινά εκτός λειτουργίας μέχρι την ολοκλήρωση των εργασιών», συμπλήρωσε. Στη Φινλανδία, η κυβερνητική ιστοσελίδα επανήλθε μεν, αλλά με μερική απώλεια περιεχομένου που τελεί υπό επαναφορά, ενώ στην Ιαπωνία, ο ιστότοπος της περιφέρειας της Οσάκα ανέφερε αδυναμία λειτουργίας της αυτόματης μετάφρασης.

Η πρωθυπουργός της Ιαπωνίας, Σανάε Τακαΐτσι, κοινοποίησε έκτακτη οδηγία καλώντας τους τεχνικούς να διακριβώσουν αν κάνουν χρήση της PHP και να εγκαταστήσουν αμέσως το διορθωτικό πακέτο που εκδόθηκε αργά την Τετάρτη. «Αν η άμεση ενημέρωση είναι δυσχερής, η προσωρινή αναστολή λειτουργίας αποτελεί ενδεδειγμένο μέτρο περιορισμού του ρίσκου», ανέφερε.

Από την πλευρά του, ο Ιάπωνας επικεφαλής του υπουργικού συμβουλίου Μινόρου Κιχάρα διευκρίνισε ότι δεν έχουν καταγραφεί περιστατικά επιθέσεων, σημειώνοντας πως οι προσωρινές διακοπές έγιναν καθαρά για προληπτικούς λόγους.

Τα δύο σοβαρά κενά ασφαλείας που εντοπίστηκαν μέσω αλγορίθμων τεχνητής νοημοσύνης επιτρέπουν θεωρητικά σε χάκερ να αποκτούν ανεξέλεγκτη πρόσβαση σε διακομιστές χωρίς απαίτηση κωδικών, όπως εξήγησε ο Τζέιμς Σάλιβαν, διευθυντής Κυβερνοασφάλειας στο Royal United Services Institute του Λονδίνου. Με τον τρόπο αυτό, ένας επιτιθέμενος θα μπορούσε να υποκλέψει ή να παραποιήσει δεδομένα, μετατρέποντας το σύστημα σε ορμητήριο περαιτέρω επιθέσεων.

Ο ίδιος χαρακτήρισε «εντυπωσιακό» το γεγονός ότι ορισμένα από αυτά τα δομικά σφάλματα παρέμεναν αθέατα για περισσότερο από μία δεκαετία, από την αρχική δημιουργία του λογισμικού. Στην προσπάθεια εντοπισμού συνέβαλαν καθοριστικά αυτόνομοι πράκτορες AI. Η OpenAI αποκάλυψε ότι ηγήθηκε πολύμηνης συμμαχίας ερευνητών, χαρακτηρίζοντας την υπόθεση ως «ένα από τα σημαντικότερα ζητήματα ασφαλείας των τελευταίων ετών», σημειώνοντας πως η τεχνητή νοημοσύνη εντόπισε τις αδυναμίες προτού τις εκμεταλλευτούν κακόβουλα στοιχεία.

Από την πλευρά του, το PHP Foundation παραδέχθηκε ότι η μία ευπάθεια ήταν γνωστή από το 2024, αναλαμβάνοντας μερίδιο ευθύνης για την καθυστέρηση, την οποία απέδωσε σε δομικές αγκυλώσεις και έλλειψη απαραίτητων πόρων.

«Η δυνητική έκταση των επιπτώσεων είναι πραγματικά τεράστια», προειδοποίησε ο Σαρλ βαν ντερ Βαλτ, επικεφαλής έρευνας στην Orange Cyberdefense, εκτιμώντας ότι αυτό που βιώνουμε είναι μόνο οι πρώτες δονήσεις και ότι οι ουσιαστικές συνέπειες θα φανούν τους επόμενους μήνες.

Αυτό συμβαίνει διότι η PHP είναι ευρύτατα διαδεδομένη και βρίσκεται ενσωματωμένη σε πλήθος συστημάτων, από απλά ιστολόγια μέχρι έξυπνες οικιακές συσκευές και κάμερες ασφαλείας. Η διαδικασία αποκατάστασης απαιτεί από τις εταιρείες να χαρτογραφήσουν τα συστήματά τους, να αξιολογήσουν το ρίσκο και να εφαρμόσουν τις διορθώσεις, μια διαδικασία που αναμένεται να διαρκέσει από εβδομάδες έως και χρόνια για τις πιο παραμελημένες εγκαταστάσεις.

Όπως επισημαίνει ο Σάλιβαν, η τεχνητή νοημοσύνη λειτουργεί ως δίκοπο μαχαίρι, καθώς προσφέρει εργαλεία τόσο στους αμυνόμενους όσο και στους επιτιθέμενους. Η μία ευπάθεια προκαλεί αλλοίωση μνήμης επιτρέποντας την εκτέλεση ξένου κώδικα, ενώ η δεύτερη εμποδίζει τη διαγραφή δεδομένων χρηστών, εκθέτοντάς τα σε υποκλοπή.

Ο βαν ντερ Βαλτ συμπλήρωσε ότι η διόρθωση δεν είναι πάντα απλή, καθώς απαιτεί δοκιμές και εγκρίσεις, ενώ υπάρχουν περιπτώσεις συστημάτων με δυσχερή φυσική πρόσβαση, όπως ιατρικοί βηματοδότες ή αεροπορικά συστήματα. Στην παρούσα φάση, εκτίμησε ότι οι επιτιθέμενοι αποκομίζουν μεγαλύτερο πλεονέκτημα από τη χρήση της AI.

Το PHP Foundation δημοσίευσε ήδη τα απαραίτητα διορθωτικά πακέτα, ενώ ο ENISA συνέστησε άμεση κινητοποίηση των οργανισμών. Πάντως, ο Σάλιβαν τόνισε πως δεν συντρέχει λόγος καταστροφολογίας, εφόσον ακολουθούνται βασικοί κανόνες κυβερνοϋγιεινής, όπως η εφαρμογή ενημερώσεων και ο έλεγχος ταυτότητας δύο παραγόντων.

Η PHP αποτελεί γλώσσα ανοικτού κώδικα που χρησιμοποιείται για τη δημιουργία δυναμικών ιστοσελίδων και τη διαχείριση βάσεων δεδομένων, αποτελώντας τη βάση δημοφιλών πλατφορμών όπως το WordPress. Σύμφωνα με στοιχεία της W3Techs για τον Οκτώβριο του 2026, η γλώσσα εντοπίζεται στο 69,3% των ιστοτόπων, αν και ο βαθμός επικινδυνότητας διαφέρει ανάλογα με την έκδοση και τις ρυθμίσεις κάθε διακομιστή. Παράλληλα, το Εθνικό Κέντρο Κυβερνοασφάλειας του Ηνωμένου Βασιλείου εξέδωσε αναλυτικές οδηγίες για την ιεράρχηση των ελέγχων στις πιο εκτεθειμένες υποδομές.