Pogođeno 70 posto interneta: Stranice diljem svijeta ugašene nakon što je AI otkrio sigurnosni propust

Gotovo 36 državnih usluga u Ujedinjenom Kraljevstvu trenutačno je nedostupno, a još četiri su "djelomično nedostupne" zbog sigurnosnih nadogradnji, izjavila je u četvrtak britanska ministrica Elizabeth Lloyd u Domu lordova.

"Nijedna velika, ključna javna usluga nije pogođena ovim postupkom, ali neke usluge ograničenog opsega mogle bi privremeno biti nedostupne dok se provode sigurnosne mjere", rekao je novinarima glasnogovornik britanske vlade.

Objavljena sigurnosna zakrpa, ažurirajte sustave

Američka Nacionalna sigurnosna agencija (NSA) i Europska agencija za kibernetičku sigurnost (ENISA) savjetovale su tvrtkama da odmah poduzmu mjere kako bi otklonile dva kritična propusta u PHP-u, programskom jeziku koji pokreće 70 posto svih internetskih stranica na svijetu, uključujući WordPress i Drupal, sustav otvorenog koda za upravljanje sadržajem.

PHP Foundation, organizacija koja stoji iza tog programskog jezika, objavila je sigurnosnu zakrpu za propuste koji su godinama bili skriveni u softveru te pozvala administratore internetskih stranica da odmah ažuriraju svoje sustave.

Popularni irski informativni portal The Journal bio je privremeno nedostupan u četvrtak ujutro dok je, kako je navedeno u obavijesti, jačao svoju "obranu". Prema podacima Reuters Institutea, The Journal drugi je najkorišteniji internetski izvor vijesti u Irskoj, odmah iza nacionalne radiotelevizije RTÉ.

Kako su otkriveni propusti

Propuste u PHP-u, čiji je naziv izvorno bio kratica za Personal Home Page, otkrili su timovi OpenAI-ja, tvrtke za kibernetičku sigurnost Wiz u vlasništvu Googlea te još jedne tvrtke za kibernetičku sigurnost, Calif.

Propusti, zajednički nazvani PHP2Shell, mogli bi napadačima omogućiti provalu na internetske stranice i pristup podacima iz memorije koji mogu sadržavati osjetljive informacije, poput lozinki.

"Budući da PHP stoji iza tako velikog dijela interneta, izloženost bi mogla obuhvatiti gotovo sva mjesta na kojima ljudi troše novac putem interneta", rekao je Nigel Green, izvršni direktor financijske savjetodavne tvrtke deVere Group.

"Platforme za rezervacije, internetska tržišta, pretplatničke usluge, stranice za prodaju ulaznica, aplikacije za dostavu i portali komunalnih usluga mogli bi čuvati podatke o platnim karticama u sustavima izgrađenima na istoj vrsti programskog koda", dodao je.

Reagirali i svjetski čelnici

Čak su i svjetski čelnici pozvali organizacije da poduzmu potrebne mjere.

Nizozemski premijer Rob Jetten izjavio je da njegova vlada "pomno prati situaciju povezanu s ranjivostima u PHP-u".

Japanska premijerka Sanae Takaichi poručila je da bi tvrtke trebale razmotriti privremenu obustavu usluga ako je to potrebno kako bi smanjile svoju izloženost riziku.

"Molimo vas da provjerite koriste li vaše javno dostupne internetske stranice PHP i pripremite se za primjenu sigurnosne zakrpe, koja će biti objavljena večeras, što je prije moguće", napisala je u srijedu na društvenoj mreži X.

Japanska zrakoplovna kompanija ANA, željeznički prijevoznik JR West i najveća japanska banka MUFG bili su među tvrtkama koje su izvijestile o privremenoj obustavi rada pojedinih internetskih stranica i usluga.

U Europi su državne internetske stranice u Francuskoj, Danskoj, Finskoj i Nizozemskoj, uključujući stranicu nizozemske agencije za kibernetičku sigurnost, privremeno ugašene tijekom uvođenja sigurnosnih zakrpa.

Zaklada Wikimedia, neprofitna organizacija koja upravlja Wikipedijom, priopćila je CNN-u u četvrtak da je "u postupku rješavanja sigurnosnih ranjivosti u PHP-u" te da je niz njezinih sustava isključen "iz predostrožnosti".

Prekretnica u razvoju umjetne inteligencije

Umjetna inteligencija odigrala je ključnu ulogu u otkrivanju i otklanjanju ranjivosti "koje su više od desetljeća ostale skrivene u programskom kodu PHP-a", priopćio je Wiz, ocijenivši da ovaj slučaj predstavlja "prekretnicu u razvoju umjetne inteligencije".

"Ono što je umjetna inteligencija promijenila jest sposobnost razumijevanja slabosti i njihova pretvaranja u funkcionalan način iskorištavanja ranjivosti", napisali su istraživači Wiza u objavi na blogu u srijedu, u kojoj su PHP opisali kao "okosnicu interneta".

"Uz napredne modele umjetne inteligencije i odgovarajuće alate, jedan je istraživač u tjedan dana dovršio posao za koji bi prije vrhunskom timu trebali mjeseci", dodali su.

Propusti otkriveni još u kolovozu

Propusti su otkriveni krajem kolovoza, ali su javnosti predstavljeni tek u srijedu, nakon što je za PHP razvijeno rješenje.

Prema tvrtki Cloudflare, koja pruža usluge internetske infrastrukture, ranjivosti bi napadačima mogle omogućiti daljinsko izvršavanje programskog koda, ometanje rada usluga i izlaganje korisničkih podataka.

Cloudflare je na rješavanju problema surađivao s organizacijom PHP Foundation te tvrtkama Calif, OpenAI i Wiz.

Istraživači Wiza tijekom istraživanja koristili su Googleov Gemini 4 Argon, Wiz Atlas i OpenAI-jev GPT-5.6 Sol.

Sličnosti s propustom Heartbleed

Istraživači Wiza smatraju da je ozbiljnost ovog problema usporediva sa sigurnosnim propustom Heartbleed iz 2014. godine, koji je pogodio tehnologiju šifriranja za koju se procjenjivalo da je koristi dvije trećine interneta.

Heartbleed je kibernetičkim kriminalcima omogućavao pristup podacima koji su trebali biti zaštićeni.

Poput Heartbleeda, istraživači Wiza smatraju da bi PHP2Shell također mogao predstavljati prekretnicu u kibernetičkoj sigurnosti.

Iako su ranjivosti postojale godinama, umjetna inteligencija omogućila je da njihovo iskorištavanje postane praktično izvedivo.

"Temeljni propusti bili su prisutni desetljećima, ali dokazivanje mogućnosti njihova iskorištavanja zahtijevalo je iznimno složen niz koraka, na samoj granici onoga što su ljudski istraživači mogli praktično postići", naveli su istraživači.

"Napredni modeli umjetne inteligencije znatno su smanjili tu prepreku, pretvorivši dugogodišnji propust u ranjivost koju je moguće iskoristiti", zaključili su.