AI-eszközök gyorsítják a PHP-sebezhetőségek kiaknázását
Az AI-eszközök megkönnyítik a támadóknak a sebezhetőségek kiaknázását, ami a PHP2Shell hibák publikálása után órákon belül milliók támadási kísérletét eredményezte.
Az OpenAI és a Google tulajdonában lévő Wiz biztonsági cég kutatói is függetlenül azonosították a PHP2Shell hibákat AI-eszközök segítségével. (Wired)
Független felfedezések és szakmai vélemények
„A PHP csapat már évek óta tudott a sebezhetőségről, de mivel támadó — legalábbis emberi — nem tudta kiaknázni, nem foglalkoztak vele” — nyilatkozta Sagi Tzadik, a Wiz biztonsági kutatója. A Calif kutatói fedezték fel először a PHP2Shell sebezhetőségeket és készítettek hozzájuk exploiteket 2024 augusztusának elején, ehhez részben az OpenAI „Patch the Planet” programjának keretében használtak fejlett AI-eszközöket. A hibák egy része már 2024-ben ismert volt, de akkor túl komplexnek ítélték a kiaknázásukat.
Cégek reakciói és a kockázatok mértéke
A Microsoft ebben a hónapban rekordot döntött azzal, hogy 1453 biztonsági sebezhetőséget javított. Eközben a Bank of America nemrég 1000 tanácsadót vett fel az Anthropic Mythos által felfedezett hibák kijavítására. Jake Williams, a Hunter Strategy kutatási és fejlesztési alelnöke szerint „minden szoftver minden verziójában ott lesznek ezek a régóta fennálló hibák”, és a PHP széles támadási felülete miatt különösen érintett.
Ryan Austin, a Calif kutatója kiemelte, hogy „egyelőre egyetlen modell sem képes egyszerű parancsokkal minden hibát feltárni”, míg Niels Provos biztonsági mérnök szerint bár az AI-eszközökkel egy évig kerestek, nem aggódik túlzottan a történelmi hibák tömeges kiaknázása miatt.