Nailathala na ang mga detalye tungkol sa isang kritikal na depekto sa wikang programming na PHP, na siyang gulugod ng mahigit 70% ng lahat ng website. Kung hindi maaayos, ang depektong ito ay magpapahintulot sa mga hacker na madaling sakupin at ikompromiso ang milyun-milyong website at ang impormasyong nasa kanilang mga server. Bilang tugon, maraming gobyerno at operator sa Europa kabilang ang Port of Rotterdam ang nag-offline ng mga website.
Ang Australian Signals Directorate, ang America's Cyber Defence Agency, at mga katulad na ahensya mula sa United Kingdom, Europe, at Japan ay nagbabala sa mga web developer na maglapat ng mga agarang update sa kanilang mga pangunahing sistema, at isaalang-alang ang pagtanggal ng mga website hanggang sa masiguro ang kaligtasan.
Ang organisasyon sa likod ng libre at open-source na wikang ito ay naglathala ng mga update na nag-aayos sa depekto, ngunit ang pagsasagawa ng mga update sa milyun-milyong sistema na gumagamit ng PHP ay mangangailangan ng oras.
Ano ang PHP?
Ang PHP ay madalas na tinatawag na "gulugod ng web". Ito ay isang lengguwahe ng programming – isang paraan upang magbigay ng mga tagubilin sa mga computer – na umiiral mula pa noong 1997, at pinapayagan nito ang mga website na pamahalaan ang mga input ng user at iproseso ang impormasyon sa likod ng mga eksena.
Ang kapangyarihan ng PHP ay ang kagalingan nito sa iba't ibang aspeto. Ginagamit ito ng mga website para sa lahat ng bagay mula sa pag-log in ng mga user sa mga account at pagpapatakbo ng mga online store, hanggang sa paghingi ng data mula sa mga database at pagpapagana ng milyun-milyong mga post sa blog at mga site ng balita.
Ang PHP ay tumatakbo sa server sa halip na sa iyong personal na computer. Nangangahulugan ito na karamihan sa atin ay nakikipag-ugnayan sa PHP araw-araw nang hindi ito nakikita.
Isang takdang panahon ng mga alalahanin
Noong Agosto, isang mananaliksik sa cybersecurity mula sa isang kumpanyang tinatawag na Wiz ang gumamit ng sarili nilang mga tool at ng mga pinakabagong bersyon ng Gemini ng Google at ChatGPT AI model ng OpenAI upang suriin ang napakalaking codebase ng PHP.
Naghahanap ang pangkat ng Wiz ng mga nakatagong kahinaan sa programming na maaaring pagsama-samahin ng isang attacker upang sakupin ang isang sistemang nagpapatakbo ng PHP sa pamamagitan lamang ng pagpapadala ng isang maingat na ginawang kahilingan sa internet.
Sa loob ng ilang araw, nakahanap sila ng mga paraan para pasukin ang mga sistemang pinapagana ng PHP mula sa Drupal at WordPress na ginagamit sa malawakang bahagi ng web.
Nakipag-ugnayan ang Wiz sa security team ng PHP upang ipaalam sa kanila ang tungkol sa mga depektong kanilang natuklasan. Pagsapit ng huling bahagi ng Setyembre, kinumpirma ng mga developer ng PHP na umiiral ang isyu, at tahimik na nagsimulang gumawa ng solusyon.
Sa cybersecurity, ang responsableng gawin kapag nakakita ka ng bug ay panatilihin itong pribado hanggang sa maging handa ang isang patch. Ito ay dahil ang pampublikong pagsisiwalat ay maaaring magbigay ng detalyadong mapa para sa mga hacker na maaaring pagsamantalahan.
Tila ito ang pinaplano ng mga PHP developer. Gayunpaman, kahapon, isang user sa sikat na website ng industriya na Hacker News ang nagpakalat ng balita tungkol sa mga depekto sa seguridad bago pa man maihanda ang anumang mga patch.
Kasunod ng paglabas ng impormasyon, agad na kinumpirma ng mga developer ng PHP sa publiko ang isyu noong Oktubre 21, kung saan naglabas sila ng mga emergency patch nang mas maaga sa iskedyul.
Ang pagpapatupad ng mga patch ay hindi madali. Dahil ang PHP ay nasa ilalim ng libu-libong third-party plugin, framework, at managed hosting services, ang mga website ay ligtas lamang kapag ang bawat indibidwal na layer ng supply chain ay nag-integrate at nag-deploy ng PHP fix.
Bakit patuloy na nangyayari ito?
Malaking bahagi ng internet ay nakabatay sa mga pangunahing teknolohiya na binuo at pinapanatili ng mga hobbyist developer. Marami ang umaasa sa mabuting kalooban at mga donasyon kaysa sa matibay na pondo ng mga korporasyon.
Marami sa mga tool na ito ay unang binuo ilang dekada na ang nakalilipas. Hindi kailanman idinisenyo ang mga ito upang ligtas na suportahan ang isang mundo kung saan milyun-milyong website at bilyun-bilyong device ang gumagamit ng mga ito upang pangasiwaan ang sensitibo at pribadong data.
Pinalala pa ang isyung ito ng katotohanang ang pagpapanatili ay bihirang maging prayoridad para sa mga organisasyon. Kadalasan, ang mga kumpanya ay mayroon lamang pinakasimpleng kaalaman tungkol sa lahat ng bahagi ng kanilang mga supply chain – pisikal man o digital.
Kahit sa mga kilalang kaso tulad nito, maraming negosyo ang hindi man lang napagtanto kung anong software ang kanilang pinagkakatiwalaan, lalo na't hindi alam kung gaano talaga ito ka-secure.
Ano ang dapat mong gawin?
Ang isyung ito ay pangunahing para sa mga taong nagpapanatili ng mga website o namamahala ng teknikal na imprastraktura. Para sa mga taong iyon, malinaw ang prayoridad: i-patch agad ang mga system kapag may available na mga update, at isaalang-alang ang pagtanggal ng mga kritikal na system sa internet hanggang sa makasiguro ka na sa kanilang seguridad.
Para sa mga pang-araw-araw na gumagamit ng internet, ang mga kahinaang ito ay nakakaapekto sa mga server na nagho-host ng mga website sa halip na sa iyong personal na device. Gayunpaman, dahil ang ilang mga site ay maaaring pansamantalang makompromiso bago pa man ito ma-patch, makabubuting maging maingat sa paglalagay ng sensitibong personal na data sa mga hindi pamilyar na website sa mga susunod na araw.
Naglulunsad na ng mga emergency filter ang mga pangunahing cloud provider at mga kompanya ng seguridad, ngunit ang pandaigdigang pagsisikap upang ma-secure ang web ay nagsisimula pa lamang.
Nagmamadali ang mga cybersecurity team sa buong mundo na pigilan ang pinsala. Ngunit ang saklaw ng isyung ito ay dapat maging isang wake-up call.
Hindi maaaring balewalain ng mga pamahalaan at negosyo ang katatagan ng kanilang mga digital supply chain. Tulad ng pagsubaybay ng mga tagagawa sa mga supplier ng mga pisikal na bahaging kanilang inaasahan, dapat nating asahan na sinusubaybayan din ng digital na imprastraktura ang bawat sistema at balangkas na kanilang inaasahan.
Ang pangangalap ng impormasyong ito ang unang hakbang para sa mga negosyo at pamahalaan upang tunay na maunawaan kung gaano kalaki ang nakasalalay sa kanilang digital viability sa kakulangan ng pondo at code na pinapanatili ng mga boluntaryo. Hanggang sa ituturing ng mga negosyo ang pagpopondo ng mga open-source foundational tool bilang isang kritikal na pamumuhunan sa seguridad sa halip na isang kawanggawa, patuloy na mangyayari ang mga kahinaang ito.
Andrew Cullen, Guest Research Fellow, School of Computing and Information Systems, The University of Melbourne.
Ang artikulong ito ay muling inilathala mula sa The Conversation sa ilalim ng lisensyang Creative Commons. Basahin ang orihinal na artikulo.
