NASA és Fehér Ház oldala is kockázatos lett egy PHP-hiba miatt

A PHP2Shell sebezhetőség miatt a NASA, a Wikipedia, a Fehér Ház, valamint a WordPress és Drupal oldalai is kockázatba kerültek — írja az IEEE Spectrum. A hiba egy régi, emlékezetkezelési problémából alakult ki, amit korábban csupán leállást okozó bugnak tartottak. (Hacker News)

Felfedezés és javítás

A sebezhetőséget a Calif biztonsági cég fedezte fel, az OpenAI támogatásával. A kutatók AI-eszközökkel mutatták ki, hogy a hiba lehetővé teszi a támadók számára a szerveren futó kód végrehajtását vagy érzékeny adatok olvasását. A felfedezés után a PHP Foundation négy mérnökből álló csapata két hónap alatt készített el egy javítást.

AI szerepe a biztonsági auditokban

Suman Jana, a Columbia Egyetem docense szerint az AI különösen hatékony a bonyolult logikai láncok feltárásában, amiket korábban emberi szakértőknek kellett megoldaniuk. „Sok nagyon specifikus okoskodás van mögötte, és az AI — a véleményem szerint — nagyon jól oldja meg ezeket” — mondta. Ugyanakkor hangsúlyozta, hogy az AI nem képes teljesen önállóan feltárni a sebezhetőségeket, de jelentősen megnöveli a legjobb szakemberek produktivitását.

A Wiz biztonsági cég is megerősítette és bővítette a sebezhetőséget, miután a Calif kutatói jelentették azt. Matt Suiche, a Tolmo AI-biztonsági kutatási vezetője szerint a régi szoftverek 40 éves technikai adóssága most kerül napvilágra az AI korában.

Jana optimista abban, hogy a formális ellenőrzési eszközök, például az Anthropic október 22-i kiadása, segítenek automatizálni a javítások ellenőrzését. „A javítás LLM-vel készül, majd egy másik LLM generálja a javítás helyességének bizonyítékát. Az egyetlen dolog, amit nem az LLM csinál, az a bizonyíték ellenőrzése, mert az LLM-ek hallucinálhatnak” — magyarázta. Matthew Green, a Johns Hopkins Egyetem docense viszont kevésbé optimista: szerintük csak egy súlyos incidens után fog a világ komolyan venni a problémát.

A PHP2Shell nem lesz az utolsó ilyen eset — véli Jana. „Ez biztosan nem lesz az utolsó. Csak az a kérdés, ki találja meg előbb. Remélhetőleg a fehér kalapos hackerek, mint ezúttal.”