Propust u tehnologiji na kojoj radi većina web stranica na svijetu natjerao je Francusku, Nizozemsku i Belgiju da isključe dio državnih servisa. Otkrila ga je umjetna inteligencija, a detalji su procurili prije nego što je popravak bio spreman.
Vladine institucije i tvrtke diljem svijeta u srijedu su gasile svoje web stranice. Razlog su dva ozbiljna sigurnosna propusta u PHP-u, programskom jeziku na kojem radi otprilike 70 posto svih stranica na internetu. Na njemu rade internetske trgovine, novinski portali, stranice gradova i općina, ali i velik dio državnih servisa.
Opasnost je u tome što propusti napadaču omogućuju da preuzme kontrolu nad poslužiteljem na kojem stranica radi, bez ikakve lozinke. Time može doći do datoteka i baza podataka, u kojima se često nalaze podaci korisnika. Američka Nacionalna sigurnosna agencija (NSA) zato je poručila svima da ranjive sustave odmah poprave ili ih isključe s mreže.
U PHP Foundationu, organizaciji koja financira razvoj tog jezika, kažu da je riječ o najozbiljnijem problemu u više od deset godina. Usporedili su ga s Heartbleedom, propustom iz 2014. zbog kojeg je cijeli svijet žurno krpao sustave.
Propuste je u kolovozu pronašla sigurnosna tvrtka Calif uz pomoć jednog od OpenAI-jevih modela umjetne inteligencije. Nekoliko tjedana kasnije tvrtka Wiz, također uz pomoć umjetne inteligencije, pronašla je još nedostataka. Sve se čuvalo u tajnosti dok programeri ne pripreme popravak, ali detalji su u utorak procurili na internet, dan prije planirane objave.
Tada je krenula žurba. U Francuskoj su na zahtjev državne agencije za kibernetičku sigurnost ugašene stranice lokalnih vlasti, uključujući stranicu pariške policije. Nizozemska je iz opreza isključila sustav za digitalni identitet građana, stranicu parlamenta, pa čak i stranicu svog centra za kibernetičku sigurnost. Stranice su privremeno ugasili i belgijsko Ministarstvo vanjskih poslova te češka vlada.
Popravak je objavljen u srijedu u 16 sati, ali stranica nije zaštićena dok ga netko ne postavi na poslužitelj na kojem radi. Starije verzije PHP-a popravak uopće neće dobiti, pa stranice koje rade na njima ostaju ranjive dok se ne prebace na noviju verziju.
Zadarska tvrtka Arcadian, popravak je postavila iste večeri na svim poslužiteljima na kojima rade web stranice njezinih korisnika. Nijedna stranica pritom nije morala biti ugašena. Usput je pronađena jedna stranica koja je radila na staroj verziji PHP-a, za koju popravka neće biti, pa je i ona iste večeri prebačena na noviju i zaštićenu verziju. Danas nijedna stranica koju Arcadian poslužuje ne radi na verziji bez popravka.
Dio stranica tvrtka izrađuje u vlastitom sustavu Arcadian CMS. Takve stranice posjetiteljima se prikazuju kao gotove datoteke i pri posjetu uopće ne pokreću PHP, pa ih ovi propusti izravno ne pogađaju. Sam sustav u kojem se uređuje sadržaj radi na PHP-u i ažuriran je istog dana. Komunalio, Arcadianova aplikacija za komunalna poduzeća, PHP uopće ne koristi.
Korisnici Arcadianova hostinga, CMS-a i Komunalija, prema obavijesti koju je tvrtka objavila u četvrtak, ne moraju ništa poduzeti. Vlasnici stranica koje održava netko drugi trebaju provjeriti je li PHP na njihovu poslužitelju ažuriran, a stranice na zastarjelim verzijama treba što prije prebaciti na novije.
