Suomessa valtion verkkopalveluja sulkenut PHP-haavoittuvuus on osa huomattavasti laajempaa maailmanlaajuista tietoturvariskiä.
Tietoturvayhtiö Wizin mukaan haavoittuvuudet voivat koskea jopa 70 prosenttia maailman verkkosivustoista ja pahimmillaan antaa hyökkääjälle mahdollisuuden ottaa palvelin haltuunsa ilman kirjautumista.
Wizin mukaan ongelma on poikkeuksellisen vakava, koska haavoittuvuudet sijaitsevat itse PHP-ohjelmointikielen ytimessä eivätkä yksittäisessä verkkopalvelussa tai julkaisujärjestelmässä.
PHP on yksi internetin käytetyimmistä palvelinpuolen ohjelmointikielistä. Sen varassa toimivat muun muassa WordPress, Drupal ja Joomla sekä Wikipedian käyttämä MediaWiki.
Wizin mukaan haavoittuvuuksia voidaan käyttää palvelimen muistissa olevien arkaluonteisten tietojen lukemiseen ja joissakin tapauksissa koodin suorittamiseen etänä ilman tunnistautumista. Yhtiö osoitti hyökkäyksen toimivan WordPress-, Drupal- ja Joomla-ympäristöissä.
Ongelma ei kuitenkaan rajoitu näihin järjestelmiin. Wizin mukaan haavoittuva kohta on PHP:ssä itsessään, joten vaarassa voi olla myös hyvin yksinkertainen verkkosovellus, jos se käyttää haavoittuvaa PHP-versiota.
Suomessa valtion verkkopalveluja suljettiin
Valtion tieto- ja viestintätekniikkakeskus Valtori ryhtyi keskiviikkona varotoimena ajamaan alas valtionhallinnon julkisia verkkopalveluja haavoittuvuuden vuoksi.
Valtorin mukaan aktiivisesta hyväksikäytöstä ei tuolloin ollut havaintoja. Alasajo tehtiin ennen korjausten asentamista.
PHP julkaisi haavoittuvuudet korjaavat versiot keskiviikkona. Wizin mukaan ainakin yksi nyt löydetyistä ongelmista koskee käytännössä kaikkia viimeisen vuosikymmenen aikana julkaistuja PHP-versioita aina PHP 5.4:ään asti.
Valtionhallinnon palveluissa on ilmennyt ongelmia vielä torstainakin.
Tekoäly muutti vanhat virheet toimivaksi hyökkäykseksi
Wizin mukaan haavoittuvuuksien taustalla olevat ohjelmointivirheet ovat olleet PHP:n koodissa yli vuosikymmenen. Niiden muuttaminen toimiviksi hyökkäyksiksi on kuitenkin aiemmin ollut erittäin vaikeaa.
Yhtiön tutkijoiden mukaan kehittyneet tekoälymallit muuttivat tilanteen. Niitä käytettiin haavoittuvuuksien löytämiseen, hyökkäysketjujen rakentamiseen ja niiden sovittamiseen eri PHP-versioihin ja palvelinympäristöihin.
Wiz arvioi kehityksen muuttavan kyberturvallisuuden asetelmaa laajemminkin. Haavoittuvuus, jonka hyväksikäyttö on aiemmin vaatinut huipputason erikoisosaamista ja paljon käsityötä, voi tekoälyn avulla muuttua huomattavasti helpommin hyödynnettäväksi.
Yhtiö vertaa PHP2Shelliksi nimeämäänsä kokonaisuutta Heartbleedin ja Log4Shellin kaltaisiin laajoihin haavoittuvuuksiin. Vertaus on Wizin oma arvio, mutta PHP:n laaja käyttö tekee korjausten nopeasta asentamisesta tärkeää myös Suomessa.