Riassunto:
L'operazione globale di riparazione di emergenza per le vulnerabilità critiche di PHP è entrata nel suo secondo giorno e la situazione continua ad essere tesa. I ricercatori avvertono che prima e dopo che la vulnerabilità è stata resa pubblica, i tentativi di attacco degli hacker sono passati da migliaia a milioni e non si può escludere la possibilità che alcuni sistemi siano stati compromessi. Giovedì, il Regno Unito ha confermato che più di 30 servizi governativi sono rimasti offline in attesa della distribuzione degli aggiornamenti di sicurezza. Anche l'operatore di telecomunicazioni Orange ha annunciato giovedì che sospenderà l'accesso ad alcuni siti Web e applicazioni.
Il giorno prima, decine di paesi e regioni, tra cui Austria, Paesi Bassi, Finlandia e Francia, hanno adottato successivamente misure simili e anche molte banche e compagnie aeree giapponesi hanno interrotto alcuni servizi online.
Matthew Prince, CEO della società di sicurezza informatica Cloudflare, ha rivelato che il suo sistema aveva identificato migliaia di tentativi di sfruttare la vulnerabilità 10 ore prima che fosse resa pubblica; nel giro di due ore dall’annuncio, il numero degli attacchi è salito a centinaia di migliaia, per poi aumentare ulteriormente fino a raggiungere milioni. Non è chiaro quanti tentativi di intrusione abbiano portato a tentativi riusciti di rubare dati o compromettere sistemi.
Palo Alto Networks ha dichiarato di aver identificato più di 22,6 milioni di "istanze esposte" contenenti la vulnerabilità e la scala è "estremamente ampia".
Giovedì, la piattaforma di condivisione delle informazioni sulle minacce e sulle vulnerabilità della sicurezza informatica del Ministero dell'Industria e dell'Information Technology ha emesso un promemoria di emergenza secondo cui PHP presenta due vulnerabilità estremamente critiche legate all'esecuzione di codice in modalità remota. Gli aggressori possono invadere direttamente il sistema di destinazione senza alcuna autenticazione. Si consiglia alle unità e agli utenti interessati di indagare immediatamente e aggiornare alla versione di sicurezza più recente.
La vulnerabilità è stata presa di mira prima che fosse resa pubblica
Secondo i ricercatori di Amazon, gli hacker stavano cercando di sfruttare la vulnerabilità prima che fosse resa pubblica. La Threat Intelligence di Amazon ha affermato nel suo rapporto pubblicato mercoledì che un "attore di minacce" non identificato aveva in qualche modo ottenuto informazioni sulla vulnerabilità prima che i dettagli fossero resi pubblici e lanciato un attacco alla rete di sensori di Amazon utilizzata per tracciare l'attività dei criminali informatici. Da allora la società ha rilevato numerosi altri tentativi di sfruttamento.
Matt Hull, vicepresidente della cyber intelligence e della risposta presso NCC Group, ha affermato che il periodo di tempo tra la scoperta della vulnerabilità e l'implementazione della patch è fondamentale e richiede alle organizzazioni interessate di agire rapidamente. "Esiste una reale possibilità che un sistema vulnerabile sia stato compromesso, inclusa una backdoor", ha affermato. "L'impatto potenziale non può essere sottovalutato."
Attualmente, l'Ufficio del Direttore nazionale informatico degli Stati Uniti sta coordinando l'FBI, la Cybersecurity and Infrastructure Security Agency, la National Security Agency e altre agenzie per rispondere congiuntamente a questo incidente.
L'ambito di influenza copre il 70% di Internet globale
PHP è una delle tecnologie più diffuse su Internet, supporta il funzionamento di milioni di siti Web e gestisce fino al 70% dell'infrastruttura Internet mondiale.
I principali sistemi di gestione dei contenuti come WordPress, Drupal, Joomla e Magento utilizzano tutti PHP come supporto sottostante. La società di sicurezza di rete Huntress ha sottolineato che PHP è ampiamente "nascosto" anche in diversi software, anche se il software in questione non dichiara l'utilizzo di PHP.
Una volta sfruttata, una vulnerabilità di questo tipo può avere un effetto a catena nella catena di fornitura del software Internet, esponendo i servizi online a rischi quali il furto di dati, l'impianto di malware e la perdita di sistema.
Mettere temporaneamente offline un sito web è un metodo difensivo comune per impedire agli aggressori di sfruttare le vulnerabilità durante l'implementazione delle patch. Il team di sviluppo PHP ha rilasciato mercoledì l'aggiornamento del software e ha invitato gli utenti ad adottarlo immediatamente.
Gli strumenti di intelligenza artificiale aiutano a scoprire e riparare le vulnerabilità
La vulnerabilità è stata scoperta da Wiz, una società di sicurezza informatica di proprietà di Alphabet, con l'aiuto di molteplici strumenti di intelligenza artificiale.
Wiz ha affermato nel rapporto di aver collaborato con OpenAI e la società di sicurezza informatica Calif per completare il lavoro di ricerca e ha stimato che la vulnerabilità esisteva inosservata da più di dieci anni.
"Con modelli di intelligenza artificiale all'avanguardia e gli strumenti giusti, un ricercatore può realizzare in una settimana ciò che prima richiedeva mesi a un team di livello mondiale", ha scritto Wiz nel rapporto.
L'azienda ha affermato che gli strumenti di intelligenza artificiale non solo hanno contribuito a identificare rapidamente le vulnerabilità, ma hanno anche accelerato la formazione di piani di riparazione, svolgendo un ruolo chiave in questa risposta all'emergenza.
Commenti