Μοντέλα AI εντόπισαν, σύμφωνα με την OpenAI, σοβαρό κενό ασφαλείας κρυμμένο στην PHP επί δεκαετία. Από εφαρμογή ύπνου Pokémon έως την ολλανδική βουλή, ιστότοποι έκλεισαν για να αποτρέψουν χάκερ.
Η τεχνητή νοημοσύνη αποκάλυψε δύο κρίσιμες αδυναμίες ασφαλείας στην PHP, μια γλώσσα προγραμματισμού που τροφοδοτεί αθόρυβα το μεγαλύτερο μέρος του διαδικτύου, προκαλώντας σε οργανισμούς σε όλο τον κόσμο έναν αγώνα δρόμου για να κατεβάσουν ιστότοπους πριν προλάβουν να τους εκμεταλλευτούν οι χάκερ.
ΔΙΑΦΉΜΙΣΗ
ΔΙΑΦΉΜΙΣΗ
Τα σφάλματα αυτά παρέμεναν αδιάγνωστα στον κώδικα της PHP για περισσότερα από δέκα χρόνια. Χρειάστηκαν τα πιο προηγμένα μοντέλα ΤΝ της OpenAI και της Google για να μετατρέψουν μια από καιρό υποψιαζόμενη αδυναμία σε λειτουργική επίθεση – και τώρα όλοι σπεύδουν να κλείσουν την πόρτα.
Καθώς οι ταχέως εξελισσόμενες δυνατότητες της ΤΝ τροφοδοτούν ανησυχίες για μια νέα εποχή κυβερνοεπιθέσεων, ακολουθεί τι χρειάζεται να γνωρίζετε.
Η αντίδραση της Ευρώπης
Η Ολλανδία κατέβασε το σύστημα ψηφιακής ταυτότητας DigiD, την κυβερνητική πύλη Overheid.nl και τον ιστότοπο της Κάτω Βουλής του κοινοβουλίου, ενώ το Λιμάνι του Ρότερνταμ, νοσοκομεία και τα πέντε μεγαλύτερα πολιτικά κόμματα της χώρας ακολούθησαν το ίδιο παράδειγμα.
Ακόμη και το ολλανδικό National Cyber Security Centre έθεσε εκτός λειτουργίας τον δικό του ιστότοπο.
Ο κρατικός πάροχος πληροφορικής της Φινλανδίας Valtori απενεργοποίησε συνολικά τις κυβερνητικές διαδικτυακές υπηρεσίες «ως προληπτικό μέτρο», το γαλλικό Υπουργείο Εσωτερικών έθεσε τους ιστότοπους της τοπικής αυτοδιοίκησης σε λειτουργία συντήρησης και η ομοσπονδιακή υπηρεσία πληροφορικής της Γερμανίας ITZBund κατέβασε αρκετές πύλες.
Η CERT-EU, η υπηρεσία κυβερνοασφάλειας για τα θεσμικά όργανα της ΕΕ, πήγε ένα βήμα παραπέρα από τους περισσότερους, συστήνοντας σε κάθε οργανισμό που δεν μπορεί να εγκαταστήσει άμεσα τις επιδιορθώσεις να θέσει τους ιστότοπούς του εκτός λειτουργίας, αντί να διακινδυνεύσει μια επίθεση.
Η Ευρωπαϊκή Επιτροπή, η ENISA, η CERT-EU, η Europol και το δίκτυο εθνικών ομάδων κυβερνοαντίδρασης της ΕΕ εξέδωσαν επίσης κοινή ανακοίνωση, καλώντας τους οργανισμούς να δράσουν άμεσα, δίνοντας προτεραιότητα στα συστήματα που είναι εκτεθειμένα στο διαδίκτυο.
Τι είναι η PHP και γιατί έχει σημασία;
Η PHP δημιουργήθηκε στις αρχές της δεκαετίας του 1990, αρχικά ως ακρωνύμιο του Personal Home Page, και αποτελεί τον κώδικα που τρέχει στο παρασκήνιο σε περίπου επτά στους δέκα ιστότοπους, σύμφωνα με τη Wiz Research, η οποία την αποκαλεί «ραχοκοκαλιά του ιστού».
Ενώ γλώσσες όπως η HTML διαχειρίζονται αυτά που βλέπετε σε μια σελίδα, η PHP διαχειρίζεται αυτά που δεν βλέπετε, όπως τον έλεγχο συνδέσεων, την επεξεργασία πληρωμών, την παροχή περιεχομένου.
Βρίσκεται στη βάση των WordPress, Drupal και Joomla, των πλατφορμών πίσω από τα πάντα, από προσωπικά ιστολόγια μέχρι ηλεκτρονικά καταστήματα και κυβερνητικές πύλες.
Αυτή η εμβέλεια είναι που μετατρέπει δύο σφάλματα σε παγκόσμιο γεγονός. Η Wiz ανέφερε ότι κάθε έκδοση της PHP που κυκλοφόρησε την τελευταία δεκαετία επηρεάζεται από τουλάχιστον μία από τις αδυναμίες και ότι ακόμη και μια στοιχειώδης σελίδα «Hello World» σε μη ενημερωμένο διακομιστή μπορεί να είναι ευάλωτη.
Μια επιδιόρθωση κυκλοφόρησε την Τετάρτη, με το PHP Foundation να προειδοποιεί τα τμήματα πληροφορικής σε όλο τον κόσμο ότι «αν τρέχετε PHP, είναι επιτακτικό να ενημερώσετε τώρα».
Οι διορθωμένες εκδόσεις είναι οι PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Οτιδήποτε παλαιότερο δεν λαμβάνει πλέον επίσημες ενημερώσεις και πρέπει να θεωρείται εκτεθειμένο, εκτός αν κάποιος προμηθευτής έχει ενσωματώσει ο ίδιος την επιδιόρθωση σε παλαιότερη έκδοση, προειδοποίησε σε ανακοίνωσή της η ομάδα αντιμετώπισης επειγόντων περιστατικών κυβερνοασφάλειας της Ευρωπαϊκής Ένωσης (CERT-EU).
Το αποτέλεσμα ήταν ένα κύμα εφαρμογών και ιστότοπων που βγήκαν προσωρινά εκτός λειτουργίας, από τον ιστότοπο της αστυνομίας του Παρισιού μέχρι έναν καταγραφέα ύπνου Pokémon, καθώς οι προγραμματιστές ενημερώνουν τον υποκείμενο κώδικα. Μεταξύ όσων κατέβηκαν προληπτικά ήταν και κυβερνητικοί ιστότοποι σε όλη την Ευρώπη.
Πώς εντόπισε η ΤΝ τις αδυναμίες;
Και οι δύο ευπάθειες, που καταγράφονται ως CVE-2026-109618 και CVE-2026-109619 και βαθμολογούνται με 9,2 στα 10 ως προς τη σοβαρότητα, βρίσκονται σε τμήματα της PHP που αγγίζει σχεδόν κάθε αίτημα, συγκεκριμένα στη διαχείριση μνήμης και στον χειρισμό σφαλμάτων.
Αν ένα αίτημα ιστού φτάσει το όριο μνήμης της PHP ακριβώς στη λάθος στιγμή, το λογισμικό μπορεί να ξεγελαστεί ώστε να εκτελέσει τον κώδικα ενός εισβολέα χωρίς καμία σύνδεση.
Το PHP Foundation παραδέχεται ότι οι δικοί του προγραμματιστές εντόπισαν πρώτοι ενδείξεις του προβλήματος το 2024, κατά τη διάρκεια εξωτερικού ελέγχου.
Ένα θεωρητικό σενάριο εκμετάλλευσης καταρτίστηκε, αλλά χωρίς συγκεκριμένο δρόμο προς μια επίθεση και με μια μικρή βασική ομάδα που ζύγιζε τα υπέρ και τα κατά μιας επιδιόρθωσης, η δουλειά σταμάτησε και ξεκίνησε ξανά επί μήνες. Το ίδρυμα χαρακτήρισε την καθυστέρηση «δομική αποτυχία».
Στη συνέχεια μπήκε στο παιχνίδι η ΤΝ. Τον Αύγουστο, η εταιρεία ασφάλειας Calif, στο πλαίσιο ελέγχου του πηγαίου κώδικα της PHP που χρηματοδότησε η OpenAI και χρησιμοποιώντας το μοντέλο GPT-5.6 Sol της OpenAI, ανέφερε μια πλήρως λειτουργική απομακρυσμένη επίθεση με την ίδια ρίζα αιτίας.
Η OpenAI εντόπισε ανεξάρτητα το ίδιο ζήτημα την ίδια ημέρα. Η Wiz ακολούθησε δύο εβδομάδες αργότερα με πρόσθετα μονοπάτια επίθεσης, χρησιμοποιώντας το δικό της εργαλείο Wiz Atlas μαζί με τα Gemini 4 Argon και GPT-5.6 Sol.
«Με μοντέλα αιχμής ΤΝ και τα κατάλληλα εργαλεία, ένας μόνο ερευνητής ολοκλήρωσε μέσα σε μία εβδομάδα αυτό που προηγουμένως θα απαιτούσε μήνες δουλειάς από μια ομάδα παγκόσμιας κλάσης», έγραψαν οι ερευνητές της Wiz.
Η OpenAI χαρακτήρισε την ανακάλυψη «μία από τις πιο σημαντικές ευπάθειες των τελευταίων ετών», προσθέτοντας ότι «σηματοδοτεί μια νέα φάση, όπου η ΤΝ μπορεί να εντοπίζει σφάλματα ασφαλείας με αντίκτυπο κλίμακας διαδικτύου».
Τα ευρήματα κρατήθηκαν μυστικά όσο αναπτυσσόταν η επιδιόρθωση.
Έπειτα, το απόγευμα της Τρίτης, οι δύο αναγνωριστικοί κωδικοί CVE διέρρευσαν σε διαδικτυακά φόρουμ και μέσα κοινωνικής δικτύωσης.
Η ομάδα της PHP επισπέυσε την κυκλοφορία κατά μία ημέρα και η Calif δημοσίευσε εκ παραδρομής – και στη συνέχεια διέγραψε – ένα βίντεο που έδειχνε τον δοκιμαστικό της κώδικα να λειτουργεί εναντίον πολλών στόχων, σύμφωνα με το PHP Foundation. Αντίγραφά του διαδόθηκαν γρήγορα.
«Το πρόβλημα με εργαλεία όπως η ΤΝ είναι ότι, μόλις βγουν όλες οι πληροφορίες εκεί έξω, οι άνθρωποι μπορούν να τα μετατρέψουν σε όπλο πολύ, πολύ γρήγορα», δήλωσε στο AFP ο Στιβ Κέρισον, ανώτερος λέκτορας κυβερνοασφάλειας στην πανεπιστημιούπολη της James Cook University στη Σιγκαπούρη.
«Γι’ αυτό όλοι ενεργούν με τέτοια αίσθηση επείγοντος για να ανταποκριθούν σε αυτό το ζήτημα.»
Έχουν ήδη παραβιαστεί ιστότοποι;
Όχι απαραίτητα. «Το να τίθενται ιστότοποι εκτός λειτουργίας δεν σημαίνει απαραίτητα ότι έχουν παραβιαστεί. Μπορεί να είναι ένα υπεύθυνο μέτρο για την προστασία συστημάτων όσο εφαρμόζονται ενημερώσεις ασφαλείας», δήλωσε ο Δημήτριος Σαλαμπάσης του Swinburne University of Technology στην Αυστραλία.
Το PHP Foundation ανέφερε ότι η ομάδα ασφαλείας του εξέτασε τον δοκιμαστικό κώδικα που κυκλοφορούσε μετά τη διαρροή και δεν εντόπισε λειτουργική εκμετάλλευση τη στιγμή της κυκλοφορίας της επιδιόρθωσης.
«Τα στοιχεία που βλέπουν οι ερευνητές ασφαλείας δείχνουν ότι κανείς δεν πραγματοποιούσε ενεργά επιθέσεις χρησιμοποιώντας τις διαθέσιμες τεχνικές», είπε ο Κέρισον.
Η εικόνα όμως αλλάζει. Η εταιρεία υποδομών ιστού Cloudflare δήλωσε την Τετάρτη ότι είχε παρατηρήσει κακόβουλη κίνηση που στόχευε πελάτες της και η CERT-EU προειδοποίησε ότι η δημόσια κυκλοφορία τεχνικών λεπτομερειών αυξάνει την πιθανότητα να εξετάζουν ήδη οι επιτιθέμενοι τις αδυναμίες.
Μεγαλύτεροι φορείς, από κυβερνητικές υπηρεσίες μέχρι μέσα ενημέρωσης, θα πρέπει να είναι σε θέση να εγκαταστήσουν επιδιορθώσεις σχετικά γρήγορα. Άλλοι όμως μπορεί να μείνουν εκτεθειμένοι για πολύ περισσότερο.
«Υπάρχουν ιστότοποι, συστήματα και άνθρωποι εκεί έξω που δεν θα έχουν ιδέα για αυτό και δεν θα μάθουν για ημέρες, εβδομάδες και μήνες», προειδοποίησε ο Κέρισον.
Σε αυτούς μπορεί να περιλαμβάνονται ιστολόγια χρηστών και ιστότοποι μικρών επιχειρήσεων, τους οποίους οι χάκερ θα μπορούσαν να καταλάβουν για να διασπείρουν ιούς, να στέλνουν ανεπιθύμητα μηνύματα ή να φιλοξενούν κακόβουλο περιεχόμενο.
Μπορεί να υπάρξουν και άλλες συνέπειες;
Κάθε διαρροή δεδομένων μπορεί να επιστρέψει για να στοιχειώσει τους πελάτες πολύ μετά την επιδιόρθωση, αν τα προσωπικά τους στοιχεία συγκομιστούν για επιθέσεις phishing – όπου κάποιος παραπλανάται ώστε να παραδώσει κωδικούς πρόσβασης ή στοιχεία πληρωμής.
Η περίπλοκη, αλληλοσυνδεόμενη φύση των διαδικτυακών συστημάτων σημαίνει επίσης ότι ο κίνδυνος δεν τελειώνει όταν ενημερώνετε τον δικό σας διακομιστή. Πολλοί ιστότοποι βασίζονται σε υπηρεσίες τρίτων, οι οποίες μπορεί και οι ίδιες να τρέχουν PHP.
Αν αυτοί οι τρίτοι καθυστερήσουν να εφαρμόσουν επιδιορθώσεις, «τότε, ακόμη κι αν έχετε ενημερώσει εσείς οι ίδιοι... παραμένετε μη ασφαλείς», δήλωσε η Ράχατ Μασούντ, ανώτερη λέκτορας κυβερνοασφάλειας στο University of New South Wales στο Σίδνεϊ.
Η PHP δεν είναι όλη η ιστορία, πρόσθεσε ο Κέρισον. Η ισχυρή κυβερνοασφάλεια απαιτεί πολλά επίπεδα άμυνας, ώστε μια σπασμένη κλειδαριά να μην ανοίγει κάθε πόρτα.
Το PHP Foundation, από την πλευρά του, αξιοποιεί το περιστατικό για να διατυπώσει μια σαφή έκκληση. Η γλώσσα τρέχει κυβερνητικές υπηρεσίες, τράπεζες και ηλεκτρονικά καταστήματα σε όλο τον κόσμο, όμως η ασφάλειά της εξακολουθεί να στηρίζεται σε μια μικρή ομάδα προγραμματιστών που χρηματοδοτούνται από το ίδρυμα και εθελοντών.
Τα εργαλεία μπορούν πλέον να εντοπίζουν σφάλματα πιο γρήγορα από ποτέ, ανέφερε, αλλά η απόφαση για το πώς θα διορθωθούν χωρίς να «σπάσει» ο ιστός απαιτεί έμπειρους μηχανικούς.