Butiran lanjut telah diterbitkan tentang kecacatan kritikal dalam bahasa pengaturcaraan PHP, yang merupakan tulang belakang kepada lebih 70% daripada semua laman web. Jika tidak dibaiki, kecacatan ini akan membolehkan penggodam dengan mudah mengambil alih dan menjejaskan berjuta-juta laman web dan maklumat yang disimpan pada pelayan mereka. Sebagai tindak balas, pelbagai kerajaan dan pengendali Eropah termasuk Pelabuhan Rotterdam telah menutup laman web.
Direktorat Isyarat Australia , Agensi Pertahanan Siber Amerika dan badan-badan serupa dari United Kingdom, Eropah dan Jepun semuanya telah memberi amaran kepada pembangun web supaya menggunakan kemas kini segera pada sistem teras mereka dan mempertimbangkan untuk menutup laman web sehingga keselamatan dapat dijamin.
Organisasi di sebalik bahasa sumber terbuka percuma itu telah menerbitkan kemas kini yang menampal kecacatan tersebut, tetapi melaksanakan kemas kini pada berjuta-juta sistem yang menggunakan PHP akan mengambil masa.
Apakah PHP itu?
PHP sering dipanggil “tulang belakang web”. Ia merupakan bahasa pengaturcaraan – cara untuk memberi arahan kepada komputer – yang telah wujud sejak tahun 1997, dan ia membolehkan laman web mengurus input pengguna dan memproses maklumat di sebalik tabir.
Kuasa PHP terletak pada fleksibilitinya. Laman web menggunakannya untuk pelbagai perkara, daripada melog masuk pengguna ke akaun dan menjalankan kedai dalam talian, hingga meminta data daripada pangkalan data dan memperkasakan berjuta-juta catatan blog dan laman berita.
PHP berjalan pada pelayan dan bukannya komputer peribadi anda. Ini bermakna kebanyakan daripada kita berinteraksi dengan PHP setiap hari tanpa pernah melihatnya.
Garis masa kebimbangan
Pada bulan Ogos, seorang penyelidik keselamatan siber dari sebuah syarikat bernama Wiz menggunakan alatan mereka sendiri dan versi terkini model Gemini Google dan ChatGPT AI OpenAI untuk meneroka pangkalan kod PHP yang besar-besaran.
Pasukan Wiz sedang mencari kelemahan pengaturcaraan tersembunyi yang boleh dirangkaikan oleh penyerang untuk mengambil alih sistem yang menjalankan PHP hanya dengan menghantar permintaan yang dibuat dengan teliti melalui internet.
Dalam masa beberapa hari, mereka menemui cara untuk memecah masuk sistem berkuasa PHP daripada Drupal dan WordPress yang digunakan di sebahagian besar web.
Wiz menghubungi pasukan keselamatan PHP untuk memberitahu mereka tentang kelemahan yang mereka temui. Menjelang akhir bulan September, pembangun PHP mengesahkan bahawa isu itu wujud dan secara senyap mula berusaha untuk memperbaikinya.
Dalam keselamatan siber, perkara yang bertanggungjawab untuk dilakukan apabila anda menemui pepijat adalah merahsiakannya sehingga tampalan siap. Ini kerana pendedahan awam boleh memberikan peta terperinci untuk dieksploitasi oleh penggodam.
Nampaknya inilah yang dirancang oleh pembangun PHP. Walau bagaimanapun, semalam seorang pengguna di laman web industri popular Hacker News mendedahkan berita tentang kelemahan keselamatan sebelum sebarang tampalan siap.
Susulan kebocoran itu, pembangun PHP bergegas untuk mengesahkan isu tersebut secara terbuka pada 21 Oktober, mengeluarkan tampalan kecemasan lebih awal daripada jadual.
Melaksanakan tampalan bukanlah mudah. Oleh kerana PHP terletak di bawah beribu-ribu pemalam, rangka kerja dan perkhidmatan pengehosan terurus pihak ketiga, laman web hanya selamat sebaik sahaja setiap lapisan rantaian bekalan mengintegrasikan dan menggunakan pembetulan PHP.
Mengapa perkara ini terus berlaku?
Kebanyakan internet dibina berdasarkan teknologi asas yang dibangunkan dan diselenggara oleh pembangun hobi. Kebanyakannya bergantung pada muhibah dan sumbangan dan bukannya pembiayaan korporat yang mantap.
Kebanyakan alat ini mula-mula dibangunkan beberapa dekad yang lalu. Ia tidak pernah direka bentuk untuk menyokong dunia yang selamat di mana berjuta-juta laman web dan berbilion peranti menggunakannya untuk mengendalikan data sensitif dan peribadi.
Memburukkan lagi isu ini ialah hakikat bahawa penyelenggaraan jarang menjadi keutamaan bagi organisasi. Selalunya, syarikat hanya mempunyai pengetahuan paling asas tentang semua bahagian rantaian bekalan mereka – sama ada fizikal atau digital.
Walaupun dalam kes berprofil tinggi seperti ini, banyak perniagaan tidak menyedari perisian apa yang mereka gunakan, apatah lagi tidak tahu betapa selamatnya ia sebenarnya.
Apa yang perlu anda lakukan?
Isu ini terutamanya berkaitan dengan mereka yang menyelenggara laman web atau mengurus infrastruktur teknikal. Bagi mereka, keutamaannya adalah jelas: menampal sistem dengan segera apabila kemas kini tersedia, dan pertimbangkan untuk mengalih keluar sistem kritikal daripada internet sehingga anda boleh yakin tentang keselamatannya.
Bagi pengguna internet harian, kelemahan ini menjejaskan pelayan yang mengehoskan laman web dan bukannya peranti peribadi anda. Walau bagaimanapun, oleh kerana sesetengah laman web mungkin dicerobohi buat sementara waktu sebelum ia boleh ditambal, adalah bijak untuk berhati-hati semasa memasukkan data peribadi sensitif di laman web yang tidak dikenali dalam beberapa hari akan datang.
Penyedia awan utama dan firma keselamatan sedang melancarkan penapis kecemasan, tetapi perebutan global untuk mengamankan web baru sahaja bermula.
Pasukan keselamatan siber di seluruh dunia sedang bergegas untuk membendung kerosakan ini. Tetapi skop isu ini harus menjadi amaran awal.
Kerajaan dan perniagaan tidak boleh mengabaikan daya tahan rantaian bekalan digital mereka. Sama seperti pengeluar menjejaki pembekal komponen fizikal yang mereka andalkan, kita harus menjangkakan bahawa infrastruktur digital juga menjejaki setiap sistem dan rangka kerja yang mereka andalkan.
Mengumpulkan maklumat ini merupakan langkah pertama bagi perniagaan dan kerajaan untuk benar-benar memahami betapa besarnya kebolehlaksanaan digital mereka bergantung pada kod yang kekurangan dana dan diselenggara oleh sukarelawan. Sehingga perniagaan menganggap pendanaan alat asas sumber terbuka sebagai pelaburan keselamatan yang kritikal dan bukannya badan amal, kelemahan ini akan terus berlaku.
Andrew Cullen, Felo Penyelidik Tetamu, Sekolah Pengkomputeran dan Sistem Maklumat, Universiti Melbourne
Artikel ini diterbitkan semula daripada The Conversation di bawah lesen Creative Commons. Baca artikel asal.
