מיליוני אתרים בסכנת פריצה: חולשת אבטחה חמורה נחשפה בתשתית האינטרנט

כוננות חריגה בעולם הסייבר בעקבות גילוי שורת חולשות אבטחה חמורות בשפת התכנות PHP, שעליה מבוססים כ-70% מאתרי האינטרנט בעולם. הפרצות מאפשרות, בתנאים מסוימים, השתלטות על שרתים מרחוק ללא צורך בסיסמה או בפרטי התחברות, ומעמידות מיליוני אתרים בסכנת פריצה.

החולשה המרכזית, שזכתה לכינוי PHP2Shell, דורגה ברמת חומרה של 9.2 מתוך 10 במדד המקובל להערכת סיכוני אבטחה. לפי המידע שפרסמו חוקרי סייבר וסוכנות הביטחון הלאומית האמריקנית, מקור הבעיה במנגנונים פנימיים של השפה האחראים לניהול הזיכרון ולטיפול בשגיאות.

על פי הדיווחים, הפגיעות משפיעה על שרתים המריצים PHP מגרסה 5.0 ואילך. ניצול הכשל במנגנון הקשור למעקב אחר העלאת קבצים עלול לאפשר לתוקף להפעיל פקודות זדוניות בשרת מרחוק, גם בלי לדעת את שם המשתמש או לפצח את סיסמת הניהול.

החשש המרכזי נובע מהשימוש הנרחב בשפת PHP. בין המערכות המבוססות עליה נמצאות פלטפורמות ניהול תוכן פופולריות, ובהן וורדפרס ודרופל (Drupal), המשמשות להפעלת אתרים רבים ברחבי העולם.

בדיווחים על הפרצה הוזכרו גם אתרים גדולים דוגמת ויקיפדיה ופייסבוק ככאלה שהתשתיות שלהם עלולות להיות מושפעות מהפגיעות.

השלכות הגילוי כבר הורגשו במערכות ממשלתיות. לפי המידע שפורסם, מאות אתרי ממשל בארצות הברית, בבריטניה ובאוסטרליה נדרשו להשבית שרתים לצורך התקנת תיקוני אבטחה דחופים.

סריקות רשת שביצעה חברת VirusTotal זיהו מיליוני כתובות IP של שרתים המריצים גרסאות פגיעות של PHP. מאחר ששרת אחד עשוי לאחסן מאות ואף אלפי אתרים נפרדים, מספר הדומיינים שעלולים להיחשף לתקיפה גדול בהרבה ממספר השרתים עצמם.

השתלטות על שרת באמצעות הפרצה עלולה לאפשר לתוקפים להגיע למאגרי מידע, להעתיק קבצים חסויים, למחוק תכנים ואף להחדיר תוכנות כופר.

אחד ההיבטים המדאיגים בפרשה הוא האפשרות לבצע את התקיפה ללא הזדהות מוקדמת. המשמעות היא שתוקף אינו נדרש בהכרח להשיג תחילה פרטי גישה של מנהל האתר, אלא עשוי לנצל ישירות את חולשת האבטחה במערכת.

לפי המידע שנמסר, גילוי הליקויים התאפשר בין היתר באמצעות סריקות קוד שביצע מודל בינה מלאכותית של חברת אנתרופיק, לצד פעילות תוכנית האבטחה של OpenAI וחוקר אבטחה עצמאי.

קרן PHP, האחראית על תחזוקת שפת התכנות, פעלה לטיפול בחולשות, ובשלב הראשון נשמר המידע תחת אמברגו כדי לאפשר הכנת עדכון אבטחה לפני חשיפת הפרטים לציבור.

אלא שבמהלך התקופה הזאת דלפו פרטי הפרצה לפורומים של האקרים. חברות מודיעין סייבר, ובהן חטיבת האבטחה של אמזון, זיהו ניסיונות לנצל את החולשה בפועל עוד לפני פרסום התיקון הרשמי.

ההנחיה החריגה: לעדכן מיד או לנתק מהרשת

בעקבות הדיווחים על ניסיונות תקיפה פעילים, פרסמו סוכנויות סייבר ממשלתיות באירופה ובבריטניה הנחיות דחופות למנהלי מערכות.

על פי ההנחיות, יש להתקין את עדכון האבטחה ללא דיחוי. במקרים שבהם לא ניתן לבצע את העדכון באופן מיידי, ההמלצה היא להשבית את האתר ולנתק את השרת מהרשת עד להשלמת הטיפול.

במסגרת צעדי ההתגוננות הושבתו אתרים ממשלתיים ופורומים בינלאומיים, במטרה למנוע ניצול של החולשה בזמן שהמערכות עדיין חשופות.