שאלות ותשובות
הפרצה שמסכנת מיליוני אתרים: איך זה קרה ומה צריך לעשות עכשיו?
שתי חולשות אבטחה חמורות בתשתית שמפעילה חלק עצום מהאינטרנט מאפשרות להאקרים להשתלט על שרתים ולגנוב מידע רגיש. הן התגלו בעזרת AI אחרי שהסתתרו בקוד יותר מעשור, ותוקפים החלו לנסות לנצל אותן עוד לפני שפורסמו התיקונים. מה בדיוק קרה, מי עלול להיפגע ואיך אפשר להתגונן? כלכליסט עושה סדר
שתי חולשות אבטחה קריטיות שהתגלו בתוכנת PHP עוררו בימים האחרונים בהלה בעולם הטכנולוגיה. אתרים ממשלתיים ושירותי אינטרנט ברחבי העולם הושבתו באופן זמני כאמצעי זהירות, חברות אבטחה מיהרו לפרסם אמצעי הגנה ומפעילי אתרים נקראו להתקין עדכונים דחופים. החולשות, שזכו לשם PHP2Shell, התגלו בעזרת כלי AI אחרי שהסתתרו בתוכנה במשך שנים רבות.
"PHP2Shell היא חולשת האבטחה החמורה ביותר שהתגלתה אי פעם באמצעות בינה מלאכותית, וככל הנראה מדובר בפרצה מורכבת מדי מכדי שניתן היה לגלות אותה ללא AI", אמר עמי לוטבק, ממייסדי חברת הסייבר וויז ומנהל הטכנולוגיות הראשי שלה. אבל מה בדיוק קרה, האם כל אתר נמצא בסכנה ומה אפשר לעשות כדי להתגונן? כלכליסט עושה סדר.
מה בעצם התגלה?
מדובר בשתי חולשות אבטחה חמורות בתוכנת PHP, שפת תכנות שמשמשת להפעלת אתרים ושירותי אינטרנט. החולשות מאפשרות לתוקף, בתנאים מסוימים, להפעיל פקודות על שרת מרוחק בלי להזדהות ובלי לדעת את הסיסמה שלו. כלומר, האקר יכול לנצל את החולשות כדי לחדור למערכת שמפעילה אתר, גם אם לא הצליח לפרוץ לחשבון של מנהל האתר וגם אם האתר עצמו נבנה בצורה מאובטחת.
לדברי משה קרקו, מנהל הטכנולוגיות הראשי של NTT ישראל, מה שהופך את האירוע לחריג הוא השילוב בין חומרת החולשות לבין היקף השימוש בתוכנה שבה התגלו. "זה מאוד גדול", אמר. "החולשה הזאת כנראה קיימת כבר לפחות עשר שנים. היא פשוט התגלתה ברגע אחד".
על מי זה משפיע?
PHP היא אחת משפות התכנות הנפוצות ביותר לפיתוח אתרים. היא משמשת, בין היתר, את וורדפרס (WordPress), שעליה מבוססים מיליוני אתרים, וכן מערכות כמו דרופל (Drupal) וג'ומלה (Joomla). גם אתרים ממשלתיים, חנויות מקוונות ואתרי חדשות משתמשים בטכנולוגיה. לפי בלוג שפרסמה וויז, PHP משמשת כ־70% מאתרי האינטרנט בעולם. חשוב לציין שזה לא אומר ש־70% מהאתרים נפרצו, או שכולם חשופים באותה מידה. הסיכון תלוי בין היתר בגרסת PHP שמותקנת בשרת ובאופן שבו הוא מוגדר.
מה האקר יכול לעשות באמצעות החולשות האלה?
במקרה החמור ביותר, להשתלט על השרת שמפעיל את האתר. הדבר עלול לאפשר לו לגנוב מידע, לשנות את תוכן האתר, להשבית שירותים או להשתמש בשרת לצורך פעילות זדונית נוספת.
לפי המחקר שפרסמה וויז, החוקרים הצליחו להדגים השתלטות מרחוק על שרתים שהפעילו מערכות פופולריות כמו וורדפרס, דרופל וג'ומלה. הם דיווחו גם על אפשרות לחלץ מזיכרון המערכת מידע רגיש, שעלול לכלול סיסמאות, מפתחות גישה ונתונים אחרים. חשוב להדגיש שמדובר ביכולות שהודגמו במחקר, ולא בהוכחה לכך שכל אתר שמשתמש במערכות הללו כבר נפרץ.
איך זה שרק עכשיו התגלתה הבעיה?
הבעיה הבסיסית התקיימה בתוכנה במשך שנים. הקושי היה לגלות כיצד אפשר להפוך אותה למתקפה שעובדת בפועל. לפי קרקו, "המידע הדיגיטלי שלנו הוא כמו גבינה שווייצרית מלאה חורים. העכבר פשוט עוד לא מצא את החור. אבל זה שהחור נמצא שם, מתישהו איזשהו עכבר ימצא אותו. וזה מה שקרה לנו עכשיו".
במחקר שפרסמה הסבירה וויז כי נעזרה במודלים מתקדמים של AI כדי לאתר חולשות ולפתח דרכים לנצל אותן. לטענת החברה, השימוש בכלים הללו איפשר לחוקר יחיד להשלים בתוך כשבוע עבודה שבעבר הייתה עשויה להעסיק צוות מומחים במשך חודשים.
וויז אינה הגוף היחיד שחקר את הבעיה. לפי קרן PHP, גם חוקרים מחברת Calif ומ־OpenAI זיהו באופן עצמאי חולשות הקשורות לאותו כשל בסיסי ודיווחו עליהן במהלך אוגוסט.
"היום היכולת למצוא פרצות שקיימות הרבה מאוד שנים היא הרבה יותר גדולה בגלל ה־AI", הסביר קרקו. "היכולת של ה־AI לעשות אנליזות גם לקוד וגם למערכות שנמצאות בריצה היא מאוד נרחבת. הוא מין האקר כזה שלא מתעייף, לא הולך לישון ויודע הכל. והרבה מאוד צוותים בעולם משתמשים בזה".
אם החולשות התגלו כבר באוגוסט, למה הסיפור התפוצץ דווקא עכשיו?
בדרך כלל, כשחוקרי אבטחה מגלים חולשה חמורה, הם מדווחים עליה תחילה למפתחי התוכנה ומאפשרים להם להכין תיקון לפני פרסום הפרטים לציבור. המטרה היא למנוע מצב שבו האקרים לומדים על החולשה ומנצלים אותה בזמן שהמשתמשים עדיין חסרי הגנה. אלא ששלשום החל להופיע בפורומים באינטרנט מידע מוקדם על שתי החולשות, לפני פרסום התיקון. בעקבות הדליפה הוחלט להקדים את פרסום התיקונים ביממה, ל־21 באוקטובר. "הסיפור הוא שהפרצה הזאת דלפה לפני שמישהו היה בכלל מוכן. לא היה זמן להתכונן", אמר קרקו.
האם האקרים כבר מנצלים את החולשות?
כן, כבר זוהו ניסיונות לנצל אותן. לפי דיווח של אמזון, חוקרי האבטחה שלה זיהו ניסיון תקיפה שהתרחש ב־17 באוקטובר, ארבעה ימים לפני פרסום התיקונים. בהמשך זוהו ניסיונות נוספים, ובאמזון דיווחו כי החולשות כבר מנוצלות בהיקף נרחב. עם זאת, לא ברור כמה מהניסיונות הצליחו להביא לפריצה בפועל למערכות אמיתיות.
לדברי רון פלד, מייסד־שותף וסמנכ"ל התפעול (COO) של חברת Sola Security, בעידן ה-AI מצטמצם הזמן שעומד לרשות חברות להתגונן מפני חולשות אבטחה חדשות. "עד לפני שנתיים, הזמן בין גילוי חולשת אבטחה לניצול שלה על ידי תוקפים היה נמדד בימים, והיום מדובר על שעות בודדות", אמר. לדבריו, במקרים מסוימים האקרים אף מנצלים חולשות לפני שפרטיהן נחשפים לציבור, כך שחברות נדרשות להתמודד עם מתקפות עוד לפני שהן יודעות מפני מה עליהן להתגונן.
איך אפשר לדעת אם האתר שלי נמצא בסיכון ומה אפשר לעשות נגד זה?
השלב הראשון הוא לבדוק אם האתר מבוסס על PHP, ואם כן, איזו גרסה של התוכנה מותקנת בשרת שמפעיל אותו. מי שמפעיל אתר באמצעות חברת אחסון או ספק חיצוני יכול לפנות אליהם ולבקש לוודא שהמערכת עודכנה. גרסאות ישנות יותר, שאינן נתמכות עוד ישירות על ידי צוות PHP, עשויות לדרוש שדרוג או תיקון מיוחד מספק התוכנה.
"חלק מחברות האבטחה שזזות יותר מהר כבר מוציאות עדכוני אבטחה. למי שיש אתר, הכי חשוב לעדכן, לעשות עדכונים שוטפים כל הזמן. זאת פעולה בסיסית שתמיד צריך לעשות אותה, במיוחד עכשיו", הסביר קרקו.
במקביל, מומלץ לבדוק אם התרחשו ניסיונות חדירה או פעולות חשודות במערכת. אם מתברר שהאקרים כבר פרצו לאתר, לא מספיק להתקין את עדכון האבטחה. צריך גם לבדוק אם הם גנבו מידע או השאירו באתר תוכנות שיאפשרו להם להיכנס אליו שוב. במקרים מסוימים יהיה צורך לשחזר את האתר באמצעות עותק שמור שלו מלפני הפריצה, לאחר שתוקנה הבעיה שאפשרה אותה.
פלד הדגיש כי ההתמודדות עם האיומים החדשים מחייבת גם שינוי באופן שבו חברות מגינות על עצמן. לדבריו, בעוד האקרים כבר מנצלים את יכולות ה-AI, צוותי אבטחת המידע בארגונים רבים עדיין אינם משתמשים בהן בצורה מיטבית. "מודלי הבינה המלאכותית טובים בטקסט ובקוד, אבל הגנה על רשת ארגונית היא לא טקסט ולא קוד, היא הרבה מעבר לכך", אמר. "צוותי אבטחת המידע חייבים להבין שהאיום השתנה והשיטות המסורתיות לא תקפות יותר: הזיהוי חייב להיות קרוב לזמן אמת, המעגלים חייבים להיות קצרים יותר, והמעבר מזיהוי איום ועד סיכולו חייב להיות מיידי".
