Foto: Freepik
Allvarliga säkerhetsbrister i programmeringsspråket php har fått experter att tala om en "svart oktober", rapporterar CNBC. Flera ledande företrädare för techbranschen varnar för att det värsta ännu inte har hänt.
Vad har hänt med php?
Forskare vid Googles Wiz och AI-företaget Calif upptäckte i augusti omfattande sårbarheter i php, med hjälp av avancerade AI-modeller från OpenAI och Google. Enligt CNBC har cirka 70 procent av alla webbplatser uppskattningsvis php i någon form.
Informationen nådde ut den 21 oktober. Politico skriver att Chainguards vd Dan Lorenc släppte uppgifter om bristen i förtid, trots en överenskommen embargotid som skulle ge tid att ta fram en rättning. Lorenc bad om ursäkt på Linkedin, men sade till Politico att han hade sett belägg för att sårbarheten redan utnyttjades.
Säkerhetsmyndigheter i Europa, USA, Storbritannien, Australien och Kanada utfärdade brådskande varningar, och flera regeringar tog webbplatser offline som en försiktighetsåtgärd. Något större intrångsskada syntes inte direkt, enligt Politico.
Hur har angreppen sett ut?
Försöken att utnyttja sårbarheten växte snabbt. Cloudflares vd Matthew Prince skriver att företaget såg tusentals försök de tio timmarna före den offentliga lanseringen. Inom 45 minuter efteråt var det tiotusentals, inom två timmar hundratusentals och därefter miljontals.
Samtidigt har allvarliga sårbarheter hittats i flera andra tjänster den senaste tiden, bland annat Node.js, Gitlab, Plex och Railway, skriver 404 Media.
Varningar om vad som väntar
Jason Clinton, biträdande säkerhetschef på Anthropic, förutspår en "tsunami av sårbarheter" de kommande månaderna. Han uppmanar säkerhetschefer att be om resurser till grundläggande säkerhet och uppger att branschen behöver hålla ut i ungefär 18 månader.
Även Open AI:s vd Sam Altman delar bilden.
– Jag tror inte längre att vi kommer att kunna täppa till alla säkerhetshål, sa Altman i torsdags.
Prince räknar med två extremt svåra år, där nya AI-verktyg "outtröttligt söker efter säkerhetshål". Salesforces vd Marc Benioff kallade läget "code red", enligt The Guardian.
Råd till företag
Chris Krebs, tidigare chef för den amerikanska myndigheten CISA, sade till CNBC att mindre företag har svårare än storbolag att hantera bristerna. Han rekommenderar att de ständigt söker efter sårbarheter, installerar uppdateringar så snabbt som möjligt eller tar äldre system offline. Enligt Krebs har tre procent av alla kritiska sårbarheter som någonsin upptäckts hittats den senaste månaden.
