มูลนิธิ PHP ยอมรับว่าปัญหาด้านการตัดสินใจและทรัพยากรที่มีจำกัดทำให้การแก้ไขช่องโหว่ความปลอดภัยของ PHP ล่าช้า ทั้งที่พบข้อบกพร่องดังกล่าวครั้งแรกในปี 2024 เมื่อมีการเผยแพร่แพตช์ฉุกเฉินสำหรับช่องโหว่ร้ายแรงที่เกี่ยวข้องกันสองรายการเมื่อวันพุธ หน่วยงานภาครัฐและองค์กรอื่น ๆ ได้ปิดเว็บไซต์เพื่อเป็นมาตรการป้องกัน

ประเด็นสำคัญ

  • มูลนิธิระบุว่าการตอบสนองที่ล่าช้าเป็นความบกพร่องเชิงโครงสร้าง ซึ่งเกี่ยวข้องกับกระบวนการด้านความปลอดภัยและทรัพยากร
  • ช่องโหว่ดังกล่าวอาจเปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนสั่งรันโค้ดบนเซิร์ฟเวอร์ที่ได้รับผลกระทบได้
  • องค์กรด้านคริปโทตรวจสอบความเสี่ยง ขณะที่ Coinbase และ BitGo รายงานว่าไม่มีระบบที่ได้รับผลกระทบ

สารบัญ

การแก้ไขช่องโหว่ความปลอดภัยของ PHP ติดขัดจากปัญหาความเข้ากันได้และบุคลากร

คำชี้แจงของมูลนิธิเน้นให้เห็นว่าข้อกังวลทางเทคนิคที่รับทราบแล้วกลับยังไม่ได้รับการแก้ไขเป็นเวลาหลายเดือน นักพัฒนาพบร่องรอยของช่องโหว่ในปี 2024 แต่ประสบปัญหาในการหาวิธีแก้ไขที่ไม่ก่อให้เกิดผลกระทบต่อระบบนิเวศซอฟต์แวร์ขนาดใหญ่ที่สร้างขึ้นบน PHP ซึ่งเป็นภาษาที่ใช้กันอย่างแพร่หลายสำหรับเว็บไซต์และแอปพลิเคชันบนเว็บ

ในช่วงนั้น นักพัฒนายังไม่สามารถระบุแนวทางที่จะทำให้สั่งรันโค้ดจากระยะไกลได้ กลุ่มผู้เชี่ยวชาญขนาดเล็กที่มีความรู้เกี่ยวกับเอนจินของ PHP ยังมีหน้าที่อื่นที่ต้องรับผิดชอบ ทำให้งานแก้ไขต้องหยุดและเริ่มต้นใหม่ซ้ำหลายครั้ง ตามที่มูลนิธิระบุ

มูลนิธิเรียกความล่าช้านี้ว่า “ความบกพร่องเชิงโครงสร้าง” ซึ่งเกิดจากทั้งกระบวนการตัดสินใจของทีมรักษาความปลอดภัยและทรัพยากรที่ไม่เพียงพอ

ประเด็นนี้กลายเป็นความสำคัญสูงสุดด้านความปลอดภัย หลังจากบริษัทด้านความปลอดภัย Calif และ OpenAI รายงานปัญหาพื้นฐานเดียวกันโดยอิสระเมื่อวันที่ 11 สิงหาคม Calif สาธิตให้เห็นว่าสามารถสั่งรันโค้ดจากระยะไกลได้โดยไม่มีเงื่อนไข

การปิดบริการเพื่อป้องกันลุกลามไปยังบริการสาธารณะ

การเผยแพร่แพตช์ฉุกเฉินทำให้เกิดการหยุดชะงักในหลายประเทศ เนื่องจากผู้ให้บริการตัดการเชื่อมต่อบริการระหว่างเตรียมติดตั้งอัปเดต เนเธอร์แลนด์ปิดบริการยืนยันตัวตนดิจิทัล และศูนย์ความมั่นคงปลอดภัยทางไซเบอร์แห่งชาติของประเทศก็ปิดเว็บไซต์ของตนเองเช่นกัน

Valtori ผู้ให้บริการไอทีภาครัฐของฟินแลนด์ ตัดการเชื่อมต่อบริการเว็บสาธารณะของรัฐบาล ส่วนกระทรวงมหาดไทยของฝรั่งเศสระงับเว็บไซต์ของจังหวัดต่าง ๆ ชั่วคราว นอกจากนี้ ITZBund ผู้ให้บริการไอทีของรัฐบาลกลางเยอรมนียังปิดใช้งานเว็บไซต์หลายแห่ง

Signals Directorate ของออสเตรเลียระบุว่า cyber.gov.au เป็นหนึ่งในเว็บไซต์ภาครัฐที่ได้รับผลกระทบจากปัญหา PHP นายกรัฐมนตรีซานาเอะ ทาคาอิจิของญี่ปุ่นเรียกร้องให้ผู้ให้บริการเตรียมติดตั้งแพตช์โดยเร็ว และกล่าวว่าการระงับการทำงานของเว็บไซต์ชั่วคราวอาจช่วยลดความเสี่ยงได้เมื่อไม่สามารถติดตั้งอัปเดตได้ทันที

มูลนิธิ Wikimedia ยังปิดบริการสนับสนุนบางส่วนชั่วคราว รวมถึง Toolforge และ Cloud VPS ซึ่งส่งผลกระทบต่อฟังก์ชันบางอย่างของ Wikipedia เมื่อวันพุธ

บริษัทคริปโทประเมินความเสี่ยงที่อาจได้รับผลกระทบ

SlowMist บริษัทด้านความปลอดภัยบล็อกเชน ระบุว่าบริการ MistEye ตรวจพบร่องรอยการใช้ PHP โดยตรงใน 793 โดเมนจาก 1,488 โดเมนในอุตสาหกรรมคริปโทที่ประเมิน บริษัทเรียกร้องให้แพลตฟอร์มซื้อขาย แพลตฟอร์ม DeFi และผู้ให้บริการกระเป๋าเงินตรวจสอบความเสี่ยงและอัปเกรด ผลการตรวจพบระบุว่ามีการใช้ PHP แต่ไม่ได้ยืนยันว่าโดเมนเหล่านั้นมีช่องโหว่

Intersect องค์กรสมาชิกที่สนับสนุนการพัฒนาและธรรมาภิบาลของ Cardano ปิดพื้นที่สมาชิกชั่วคราวระหว่างประเมินความเสี่ยงที่อาจได้รับผลกระทบ

เจฟฟ์ ลุงโฮเฟอร์ ประธานเจ้าหน้าที่ฝ่ายความปลอดภัยของ Coinbase กล่าวว่า บริษัทไม่พบหลักฐานว่ามีอินสแตนซ์ PHP ที่เปิดรับความเสี่ยง และกำลังตรวจสอบกับซัพพลายเออร์บุคคลที่สามด้วย ส่วน BitGo ระบุแยกต่างหากว่าแพลตฟอร์มไม่ได้รับผลกระทบ

สถานะการใช้ประโยชน์จากช่องโหว่ยังแตกต่างจากความเสี่ยงที่พิสูจน์ให้เห็นแล้ว

แม้จะมีการสาธิตความเสี่ยงจากการสั่งรันโค้ดจากระยะไกลแล้ว แต่ทีมรักษาความปลอดภัยของ PHP ระบุว่า ณ เวลาที่เปิดเผยข้อมูลต่อสาธารณะ ยังไม่พบการใช้ประโยชน์จากช่องโหว่ที่ใช้งานได้จริง

OpenAI เผยแพร่ทักษะ Codex ผ่าน GitHub เพื่อช่วยให้ผู้ให้บริการตรวจสอบเวอร์ชัน PHP ที่อาจมีช่องโหว่และระบุอัปเดตที่เกี่ยวข้อง

บทสรุป

แพตช์ฉุกเฉินแก้ไขช่องโหว่เร่งด่วน ขณะที่การยอมรับของมูลนิธิชี้ให้เห็นถึงความบกพร่องในกระบวนการที่ทำให้การแก้ไขล่าช้า การปิดบริการที่มีรายงานเป็นมาตรการป้องกัน ไม่ใช่หลักฐานว่าองค์กรที่ได้รับผลกระทบถูกเจาะระบบแล้ว

อ่านข่าวเพิ่มเติม

ข่าวเพิ่มเติมจาก FinanceVelix

ข้อจำกัดความรับผิด

บทความ FinanceVelix นี้ให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือภาษีที่จัดทำขึ้นเฉพาะบุคคล ราคาตลาด อัตราดอกเบี้ย และภาวะเศรษฐกิจอาจเปลี่ยนแปลงได้ การลงทุนมีความเสี่ยงที่จะขาดทุน ข้อเท็จจริงสะท้อนข้อมูลที่มีอยู่ ณ เวลาที่เผยแพร่และอาจเปลี่ยนแปลงได้ โปรดตรวจสอบข้อมูลสำคัญด้วยตนเองและปรึกษาผู้เชี่ยวชาญที่มีคุณสมบัติเหมาะสมเมื่อจำเป็น การกล่าวถึงสินทรัพย์ บริษัท หรือบริการใด ๆ ไม่ถือเป็นการรับรอง