שתי פרצות אבטחה קריטיות הובילו ממשלות ברחבי העולם להשבית אתרים ושירותים מקוונים, מחשש שתוקפים ישתלטו על השרתים ויגיעו למידע רגיש. הפרצות התגלו ב-PHP, שפת תכנות המשמשת להפעלת אתרי אינטרנט רבים. אתמול (ד') כבר פורסמו תיקוני אבטחה, ובמקביל החלו רשויות להוריד אתרים מהרשת כאמצעי זהירות, עד להשלמת העדכונים.
הסוכנות לביטחון לאומי בארה"ב (NSA) הזהירה כי הפרצות עלולות לאפשר לתוקפים להשתלט על שרתים ללא גישה מוקדמת או הזדהות, ומשם לגנוב מידע, לשבש שירותים ואף להתקדם למערכות נוספות ברשת. ההמלצה שלה למפעילי מערכות שלא יכולים להתקין את התיקון מיד הייתה בלנתק אותן עד שאפשר יהיה להגן עליהן.
על מה מדובר?
PHP פועלת מאחורי הקלעים של אתרי אינטרנט ומטפלת במשימות כמו שליפת מידע ממסדי נתונים ויצירת העמודים שאנחנו רואים בדפדפן. אתרי ממשלה, שירותים ציבוריים ואתרים מסחריים יכולים להסתמך על אותה שפה, ולכן חולשה בה עלולה להשפיע על גופים רבים שאין ביניהם שום קשר.
שתי הפרצות, המכונות יחד PHP2Shell, קשורות לטיפול בזיכרון וקיבלו דירוג חומרה של 9.2 מתוך 10. בתנאים מסוימים, ניצול שלהן מאפשר לתוקף לגרום לשרת להריץ קוד משלו, בלי להתחבר אליו עם שם משתמש וסיסמה.
המרכז הלאומי לאבטחת סייבר בבריטניה הדגיש כי האזהרה אינה מוגבלת לגרסאות ישנות, וקרא לארגונים לאתר את המערכות המשתמשות ב-PHP ולעדכן אותן לגרסה מתוקנת.
גם אתרים של גופי סייבר ירדו מהרשת
בצרפת הושבתו אתרי נציגויות הממשלה במחוזות, ובהם אתר נציבות משטרת פריז. משרד הפנים מסר כי האתרים נותקו לבקשת הסוכנות הלאומית לאבטחת סייבר, בעקבות זיהוי פרצת אבטחה קריטית. בהולנד הודיעה הממשלה כי כמה מאתריה הורדו מהרשת כאמצעי זהירות. גם המרכז הלאומי לאבטחת סייבר ההולנדי השבית זמנית את האתר שלו.
גם בצ'כיה הושבת אתר הממשלה. בגרנזי נותקו אתר הממשלה הראשי, פורטל רשות המסים ושירותים ציבוריים נוספים. עם זאת, הממשלה המקומית הבהירה כי אין ראיות לפגיעה באתרים, וכי ההשבתה נועדה להגן על המערכות בזמן התקנת התיקונים ובדיקתם.
לפי דיווח של CBC News, גם בפרובינציית ניופאונדלנד ולברדור בקנדה הושבתו אתרי ממשלה ושירותים מקוונים, ובהם אתרי המשטרה המקומית. הממשלה מסרה כי כל שירות נבדק בנפרד כדי לקבוע אם אפשר להשאירו פעיל, בעוד שפורטל השירותים המרכזי MyGovNL לא הושפע.
ההשבתות היזומות אינן מעידות כשלעצמן שהאתרים נפרצו. עם זאת, בעדכון שפרסמה היום סוכנות הסייבר של סינגפור נמסר כי התקבלו דיווחים על ניסיונות נרחבים לנצל את הפרצות ועל פיתוח קוד שמדגים כיצד ניתן לתקוף באמצעותן. לא כל ניסיון כזה מסתיים בפריצה מוצלחת, אבל חלון הזמן להתקנת התיקונים כבר מלווה בניסיונות תקיפה.
שורת אתרים הושבתו כדי למנוע פריצה
(אילוסטרציה: Shutterstock)
בפלורידה, הבוחרים הופנו למוקד הטלפוני
בארה"ב, השיבושים הגיעו בתזמון רגיש במיוחד: בזמן ההצבעה המוקדמת בפלורידה, פחות משבועיים לפני בחירות האמצע. לפי WUSF, חברת טכנולוגיות הבחירות VR Systems השביתה שירותי מידע מקוונים לבוחרים בעקבות האזהרות על הפרצות.
במחוז סרסוטה, למשל, בוחרים לא יכלו לצפות בדוגמאות של טופסי ההצבעה או לאתר מקומות הצבעה באתר הממונה על הבחירות. לשכת הבחירות הפנתה את הציבור למוקד הטלפוני שלה בזמן עבודות התחזוקה. נכון לכתיבת שורות אלו, עדיין לא ידוע אם השירות יחזור לפעילות בתוך שעות או ימים.
לדבריו של רואי כהן דוויק, CTO ושותף מייסד ב-Surf AI: "ב-21 באוקטובר נחשפו שתי חולשות אבטחה קריטיות ב-PHP, שפה שמריצה חלק גדול מהאתרים והשירותים באינטרנט. החולשות נובעות משגיאות בניהול זיכרון, ובתרחישים מסוימים תוקף יכול לשלוח לשרת בקשה זדונית ולגרום להרצת קוד מרחוק מתוך תהליך ה-PHP עצמו, גם בלי חולשה בקוד האפליקציה. המשמעות היא ששרתים עלולים להפוך לנקודת כניסה לתקיפה, לחשיפת מידע ולהמשך תנועה בתוך הרשת.
"פורסמו תיקונים, אבל זה לא נגמר בהתקנה; ארגון צריך לדעת במהירות היכן PHP פועל, מי אחראי על כל שרת ומה חשוף לאינטרנט, ולפעול כדי לצמצם את היקף הפגיעה האפשרית. האירוע הזה ממחיש מדוע אבטחת מידע מחייבת ניהול חשיפה מתמשך: לא רק גילוי חולשות נקודתיות, אלא הבנה שוטפת של הסיכונים, הקשרים בין המערכות והדרכים שבהן תוקף עלול להתקדם מפגיעה בשרת אחד לפגיעה רחבה יותר בארגון".
זוהר אלון, מנכ״ל ושותף מייסד ב-NewCore: "חולשת האבטחה שנמצאה שלשום מסכנת כמעט מחצית מאתרי האינטרנט בעולם שנבנו בטכנולוגיה הזו. תוקפים כבר משתמשים בה כדי להשתלט כמעט ללא מאמץ על שרתים, מה שלא רק מסכן את האתרים והמידע שעליהם, אלא גם מאפשר לתוקפים להתפשט למערכות אחרות המחוברות לאותם שרתים.
"במובנים רבים, מדובר במגפת הקורונה של האינטרנט - העובדה שמדובר בטכנולוגיה נפוצה כל כך מאפשרת לתוקפים להתפשט בקצב אדיר, כאשר כל שרת שנפגע עלול להפוך לנקודת מוצא לתקיפת מערכות נוספות. היקף החשיפה ומהירות ההתפשטות הופכים את משימת ההתגוננות לקשה עוד יותר".
משה קנוני, נשיא מחקר ופיתוח בחברת Onyx Security:"החולשה היא הדגמה נהדרת של מה שסוכני AI מסוגלים לעשות היום: לקחת באג שישב בקוד יותר מעשור ולהפוך אותו לנשק בתוך שבוע. אותה יכולת בדיוק כבר עובדת בתוך הארגונים, בסוכנים שקיבלו גישה לקוד, לשרתים ולמערכות הייצור. השאלה היא כבר לא מה הסוכנים מסוגלים לעשות, אלא מי קובע מה מותר להם לעשות, ומי עוצר אותם כשהם חורגים".
