Уязвимост от "нулев ден" в PHP: Как AI откри пробив в сърцето на интернет - и как това ви засяга?

Какво се случи, след като бяха открити уязвимости в PHP? Знаем, че голяма част от интернет е базиран именно на този език. Как се стигна до откриването им и какви могат да бъдат последиците?

Християн Даскалов: Моето послание преди всичко е да няма паника. Статистиката наистина сочи, че около 70% от сайтовете в глобалната мрежа използват този език частично или изцяло, което би могло да предизвика притеснение. Важно е обаче да се знае, че още преди да има установени реални злоупотреби, започна така нареченото „пачване“ — с хубавата българска дума „закърпване“ — т.е. прилагане на софтуерни кръпки, които отстраняват възможността уязвимостта да бъде експлоатирана. Самата уязвимост е изключително техническа — на дълбоко концептуално и конфигурационно ниво. Тя дава възможност сървър, базиран на PHP, да бъде доведен до изпълнение на зловредни команди. Оттам биха могли да се поискат потребителски или администраторски пароли, да се подмени съдържанието на уебсайта или да се внедри зловреден код. За реализирането на такава атака обаче се изискват сериозни познания.

Откриването стана благодарение на изкуствения интелект — направен е дълбок анализ на рамката за програмиране зад PHP сървърите. На тази база, чисто концептуално (като proof of concept), е открит специфичен начин системата да бъде блокирана и да започне да изпълнява зловредни команди. Това е разкрито с помощта на ИИ, но не е било експлоатирано от хакери. В момента, в който възможността за атака беше оповестена публично, веднага (в рамките на денонощие) излезе и съответният пач. Всеки разумен системен администратор ще го приложи и няма да се стигне до проблеми за потребителите или собствениците на сайтове.

 В този контекст можем ли да говорим, че това е уязвимост от типа „нулев ден“ (zero-day)? Преди няколко месеца около ИИ имаше дори кратка забрана за използването на някои модели на Anthropic от чужди правителства. Говорим ли наистина за zero-day уязвимост, открита на етап, в който все още няма реални атаки?

Християн Даскалов: Да. За така наречените уязвимости от „нулев ден“ обичам да казвам, че всяка уязвимости, които засяга системите ни преди да сме я забелязали, може да се интерпретира като такава. При класическия сценарий някой проучва даден пробив с месеци и изненада с атака, за която никой не знае. С изкуствения интелект разликата е голяма: вече няма нужда някой да търси вратички с месеци. С помощта на ИИ това може да стане за броени часове и през няколко итерации да се реализира светкавична атака, преди въобще да се разбере за проблема.

Защо в този случай всички разбрахме навреме? Защото беше следван най-естественият процес на контролирано оповестяване. Ти съобщаваш за проблема, но паралелно се координира с засегнатите среди — зад PHP стои огромна екосистема от програмисти и фондация, които се грижат в момента на оповестяването вече да има готово решение. Ако това беше открито от злонамерен хакер, той нямаше да информира хората, които създават защитата. Днешната новина е хубава: тя показва как добронамерени изследователи („етични хакери“) с помощта на ИИ намират огромна пробойна и я координират с разработчиците. Остава само личната отговорност на администраторите да приложат решението.

За кой изкуствен интелект става въпрос? Знае ли се кой модел откри тези структурни уязвимости?

Християн Даскалов: От OpenAI оповестиха, че са използвани техни актуални модели. Често в такива случаи се работи в мултимодална и мултиагентна архитектура — изследователят възлага задачи на няколко AI агента, обучени да търсят пробойни с цел кръстосана проверка (cross-dissemination). Един агент работи с един модел, друг — с различен (не непременно на същата компания), като те обменят опит и обогатяват резултата. Така че става дума за мултимодална изследователска дейност с технологии, които в голямата си част са общодостъпни.

Разбира се, изследователите ползват тези модели без стандартните ограничители (guardrails), които ни държат в определен коловоз. Ако обикновен потребител попита ИИ как да хакне конкретен сайт, системата ще откаже. Изследователите ползват същата технология, но без тези бариери.

Тук е важно гражданите да знаят: всички експерименти и въпроси към AI се записват и пазят като история. При съмнения за престъпни намерения органите на реда могат да извършат проверка. Българското законодателство не позволява да се правим на „етични хакери“ и да тестваме чужди системи и мрежи без изричното разрешение на техните администратори и интернет доставчици. С две думи: използвани са общодостъпни модели, но с премахнати лимити за изследователски цели. Обикновените потребители не бива да изпробват подобни техники, защото това е извън закона.

Някои правителства в Европа превентивно спряха своите PHP базирани сайтове след съобщението. Проблем ли е концентрацията на мощни модели (предимно американски, като OpenAI и Anthropic), които могат да откриват такива уязвимости? Създава ли това геополитически риск за Европа, включително за финансовия и банковия сектор, който бързаше за достъп до модела Mythos на Anthropic?

Християн Даскалов: Що се отнася до Mythos — български компании за киберсигурност и изследователи от академичните среди вече могат да кандидатстват за достъп и много мои колеги имат такова разрешение. Не мисля, че достъпът до тези модели е реален проблем. Ще дам пример отпреди години с софтуера Metasploit (който не е ИИ, но сканира мрежи за уязвимости). В САЩ имаше законодателно предложение той да бъде обявен за оръжие с двойна употреба и да се забрани за износ. За щастие това безумие беше спряно в последния момент. Днес Metasploit се използва от всеки защитник в дигиталното пространство още от ученическите му години.

Нападателите и хакерите така или иначе винаги намират достъп до инструменти. Ако забраним технологиите (били те ИИ или традиционен софтуер) за редовите и съвестни граждани, просто ще оставим защитниците без оръжие срещу добре обучените злонамерени играчи. Затова пътят не е да се чудим как да забраняваме щатски модели или спешно да разработваме европейски техни алтернативи. Трябва най-доброто на пазара да бъде достъпно за защитниците, а повече хора да се обучат как да го използват правилно.

В заключение, какво трябва да предприемат българските компании, бизнесът и организациите, чиито сайтове са базирани на PHP?

Християн Даскалов: Единствената стъпка е незабавно да се свържете с администратора на вашата система (независимо дали е уебсайт или сървър за управление на софтуер) и да проверите две неща: Базирана ли е системата на PHP? Ако да — приложен ли е най-актуалният софтуерен пач (update), който блокира тази уязвимост? Ако версията е обновена до най-новата, няма място за притеснение и няма нужда да се свалят сайтове. Ако поддръжката изисква време (напр. реакция до седмица), тогава е разумно временно да ограничите достъпа до системата, за да не бъде експлоатирана.

Това е като лампичката на таблото в колата — трябва възможно най-бързо да отидете до сервиза, за да проверите проблема, преди да е станало нещо по-сериозно. Не бива да разчитаме на съображението „на мен няма да ми се случи“, защото в дигиталното пространство рано или късно се случва.