Myndigheter i Europa, Asien och andra kontinenter har tillfälligt tagit vissa statliga webbplatser offline för att skydda mot nyupptäckta säkerhetsbrister i ett programmeringsspråk som används för att driva de allra flesta webbplatser på internet.
På onsdagen ledde sårbarheter i PHP-programmeringsspråket till en sällsynt offentlig varning från United States National Security Agency (NSA), som rådde att ta webbplatser offline om de inte kunde uppdateras omedelbart.
Rekommenderade berättelser
lista med 3 artiklarslutet av listan
”Gäller omedelbart, alla organisationer som använder PHP för sina system rekommenderas att vara förberedda på en uppdatering som tar itu med två kritiska sårbarheter”, sa NSA i ett inlägg på sociala medier.
I Tyskland sa det federala ministeriet för digital transformation och statlig modernisering att det tog vissa webbplatser offline som en förebyggande åtgärd. Frankrikes inrikesministerium avaktiverade de officiella webbplatserna för lokala administrativa kontor.
Myndigheter i Belgien, Nederländerna, Finland och Tjeckien sa också att de hade stängt webbplatser för att tillämpa en säkerhetskorrigering för att stänga kryphålet i PHP. Till och med Japans premiärminister Sanae Takaichi skrev på sociala medier för att varna för PHP-risken.
Cybersäkerhetsexperter upptäckte paret av sårbarheter, kallat PHP2Shell, med hjälp av artificiell intelligens (AI)-modeller.
Forskare vid säkerhetsföretaget Calif, som arbetar med OpenAI, rapporterade det första felet den 11 augusti. Wiz, ett säkerhetsföretag som ägs av teknikjätten Alphabet, rapporterade den andra sårbarheten den 24 augusti.
Wiz sa att fynden ”rankas bland de allvarligaste sårbarheterna som upptäckts i PHP, och utan tvekan i mjukvaruhistorien”.
De underliggande bristerna hade funnits i årtionden, sa företaget, men att bevisa att de var exploaterbara krävde en kedja av steg ”i utkanten av vad mänskliga forskare praktiskt taget kunde uppnå”.
AI-verktyg låter forskare hitta sårbarheter i programvara genom att testa fler attacker än mänskliga programmerare kan ensamma.
Volontärer upprätthåller PHP-programmeringsspråket, och den ideella PHP Foundation sa på onsdagen att bristerna var bland de allvarligaste den hade stött på.
Gruppen uppmanade alla som administrerar en webbplats att uppdatera sin kod omedelbart.
Båda bristerna förlitar sig på att komma åt delar av minnet utan korrekt auktorisering och att utnyttja den åtkomsten för att köra skadlig kod. De två kryphålen innebär att en angripare kan fjärrstyra kommandon på en server som kör gammal PHP-kod över internet, utan att behöva ett lösenord eller legitim kontoåtkomst.
PHP Foundation varnade också för att AI skulle göra sådana säkerhetsbrister lättare att hitta. Den uppmanade teknikföretag att ta fram ett samordnat svar för att undvika stora störningar i onlinetjänster.
”Verktyg hittar nu buggar snabbare än någonsin, för både försvarare och angripare, och antalet rapporter kommer att fortsätta växa”, sa stiftelsen i ett uttalande.