Fundacja PHP z jednym pracownikiem kontra błędy znajdowane w tempie AI. OpenAI podnosi nagrody

Awaryjne aktualizacje i nazwa

Dwa krytyczne błędy w PHP znalazł zespół korzystający z modeli AI OpenAI. Poprawione wersje pojawiły się krótko po ostrzeżeniu. Według Cloudflare skutki dotyczą serwerów WWW z PHP 5.4 i nowszym.

Każdy, kto prowadzi stronę, sam podejmuje teraz decyzję o łataniu. Poprawki istnieją, ale żaden organ nie wymusza ich instalacji. Regulatorzy i kupujący dostają gotowy przykład tego, ile kosztuje utrzymanie wspólnego kodu. Język, którego używa około 69% stron z rozpoznanym językiem po stronie serwera, utrzymuje jeden etatowy pracownik i około 14 współpracowników na część etatu. To porównanie warto zapamiętać. Nikt nie opublikował, ile instalacji wciąż nie ma łatek.

Komunikat z 3 listopada podał, że rządy ostrzegały administratorów przed koniecznością awaryjnych aktualizacji, i zebrał błędy pod nazwą PHP2Shell. Materiał rozesłano przez TrillionDollarClub, platformę komunikacyjną w ramach Dynamic Brand Portfolio w IBN. Nazwa rozchodzi się szybciej niż łatka. Etykieta pojawiła się razem z komunikatem, po łatkach.

W niektórych przypadkach rządowe strony internetowe musiały wstrzymać działanie. Opóźnienia we wdrażaniu aktualizacji sygnalizowano jeszcze po wydaniu poprawek. Decyzję o ich instalacji pozostawiono właścicielom poszczególnych stron.

Miliony prób w ciągu doby

Matthew Prince, dyrektor generalny Cloudflare, napisał na X, że w ciągu 24 godzin od ujawnienia odnotowano miliony prób ataków, a tysiące jeszcze przed nim. Wydział cybernetyczny FBI ostrzegł na X, że błędy mogą umożliwić zdalne wykonanie kodu w jądrze PHP, narażając wrażliwe dane i sieci.

Dostawcy hostingu działali w różnym tempie. Cloudflare dodał reguły zapory aplikacyjnej, które wykrywają ataki i je blokują. GoDaddy zaktualizował hosting zarządzany i Windows, więc ci klienci nie muszą nic robić. Właściciele stron zarządzanych samodzielnie i operatorzy VPS dostali polecenie aktualizacji na własną rękę. Cloudflare otworzył też konkurs capture-the-flag na HackerOne i zaprosił badaczy do przełamania celowo podatnego środowiska PHP za własną zaporą, z nagrodami od 100 do 10 000 dolarów.

Tysiące prób przed ujawnieniem. Miliony w ciągu doby po nim.

Fundacja z jednym pracownikiem

Elizabeth Barron, dyrektorka wykonawcza PHP Foundation, powiedziała, że jest jedynym pełnoetatowym pracownikiem organizacji. Pracuje z około 14 osobami na kontraktach w niepełnym wymiarze i z nieopłacanymi członkami zarządu.

W3Techs szacuje, że PHP używa około 69% stron, których język po stronie serwera jest znany. Zapotrzebowanie na poprawki kodu podwoiło się, powiedziała Barron, ale "liczba współpracowników nie podwoiła się". Dodała, że "jest jasne, że finansowania na wsparcie PHP poważnie brakuje". Według niej firmy i rządy, które zależą od tego języka, nie zmieniły swoich struktur, choć kolejka przed jej zespołem rosła.

Jeden etatowy pracownik. Około 14 kontraktorów. Mniej więcej siedem stron na dziesięć.

Po ujawnieniu liczba prób ataków gwałtownie wzrosła, a możliwości fundacji nie wzrosły razem z nimi.

Dlaczego AI zmienia rachunek

Komunikat PHP2Shell przekonuje, że AI potrafi znajdować słabości oprogramowania i je wykorzystywać w tempie, któremu obrońcy mają trudność sprostać. PHP jest dostępny za darmo i szeroko wdrożony. Jeden zestaw błędów rozchodzi się więc po milionach stron, małych firmach i usługach publicznych, które nie mają własnych zespołów bezpieczeństwa.

Kwoty nagród OpenAI pokazują to samo z drugiej strony. Firma płaci teraz do 30 000 dolarów za krytyczną lukę w podstawowych produktach, takich jak ChatGPT czy Codex. Wyjątkowe znaleziska mogą sięgnąć 100 000 dolarów, a premie za jakość, lojalność i kampanie podnoszą sumę do około 172 000 dolarów. Firma czterokrotnie zwiększyła wypłaty, wprowadziła pięciostopniowy program lojalnościowy i wypłaci różnicę wstecznie każdemu, kto zgłosił błąd w poprzednich 30 dniach. To stawia OpenAI obok ogólnego programu nagród za luki Google'a, choć wciąż poniżej najwyższych wypłat, jakie Apple i Microsoft oferują za exploity na poziomie systemu. Następny będzie sprint bezpieczeństwa z firmą Cathedral. Podczas poprzedniego 25% inżynierów produktowych OpenAI szukało luk, według firmy.

Postaw oba budżety obok siebie. Krytyczna luka w OpenAI może być warta około 172 000 dolarów. Najwyższa nagroda w konkursie capture-the-flag Cloudflare dla PHP to 10 000 dolarów.

Co dalej

Badanie 121 właścicieli małych firm w USA, którzy mają własne strony, przeprowadzone przez Network Solutions, pokazało, że 45% nigdy nie słyszało o PHP.

Poprawki czekają więc w kolejce, której nikt nie pilnuje. Łatanie pozostaje decyzją każdej strony osobno, bez centralnego egzekwowania. Proponowane środki są znane: szybsze aktualizacje, więcej pieniędzy dla opiekunów kodu, lepsze ujawnianie informacji. Żaden nie ma mechanizmu wymuszania. Różnica między tym, co potrafi znaleźć AI, a tym, co naprawi fundacja z jednym pracownikiem, jest teraz warunkiem działania dużej części sieci.

Barron prosi o pieniądze, nie o nowego regulatora. Czy finansujący posłuchają, pozostaje pytaniem otwartym, a wspomniane badanie sugeruje, że wielu właścicieli stron nie zauważyłoby tego w żadnym razie.