ทั่วโลกเร่งอัพเดตความปลอดภัย หลังพบช่องโหว่ใน PHP กระทบ 70% ของเว็บไซต์ทั่วโลก
เมื่อวันที่ 23 ตุลาคม สำนักข่าวเอพีรายงานว่า หน่วยงานภาครัฐและองค์กรธุรกิจทั่วโลก ต่างเร่งดำเนินการอัพเดตความปลอดภัยตลอดทั้งคืนที่ผ่านมา หลังจากมีการค้นพบช่องโหว่ในภาษาโปรแกรมที่สำคัญ ซึ่งเป็นรากฐานของเว็บไซต์กว่า 70 เปอร์เซ็นต์ทั่วโลก ซึ่งการค้นพบช่องโหว่ดังกล่าว ได้รับการช่วยเหลือจากปัญญาประดิษฐ์ หรือ เอไอ
โดยตลอดวันที่ 22 ตุลาคมที่ผ่านมา บรรดาเว็บไซต์ของหน่วยงานรัฐบาลหลายแห่ง ยังดูเหมือนจะใช้งานได้ตามปกติ แต่ก็ยังพบการล่มของเว็บไซต์หรือการให้บริการที่จำกัดระหว่างที่มีการดำเนินการด้านความปลอดภัย
ขณะที่แผนกไซเบอร์ของสำนักงานสอบสวนกลางสหรัฐ หรือเอฟบีไอ ได้ออกคำเตือนเมื่อวันที่ 21 ตุลาคมว่า ช่องโหว่ดังกล่าว อาจเปิดช่องให้ผู้ไม่หวังดีสามารถสั่งรันโค้ดจากระยะไกลผ่านภาษาโปรแกรม PHP ซึ่งเป็นภาษาที่ใช้ขับเคลื่อนเว็บไซต์ และเว็บแอพพลิเคชั่นต่างๆ ส่งผลให้ข้อมูลสำคัญและเครือข่ายตกอยู่ในความเสี่ยง โดยทางเอฟบีไอ แนะนำว่า หากยังไม่สามารถอัพเดตระบบได้ทันที ผู้ดูแลเว็บไซต์ควรจะปิดการใช้งานเว็บเป็นการชั่วคราว
ทั้งนี้ ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ ให้สัมภาษณ์กับสำนักข่าวเอพี ว่า ผลกระทบจากช่องโหว่ที่พบนี้อาจส่งผลต่อเนื่องไปอีกระยะหนึ่ง แต่ชื่นชมว่า หน่วยงานรัฐบาลต่างๆ ได้ปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยทางไซเบอร์ ด้วยการปิดเว็บไซต์ชั่วคราวในระหว่างขั้นตอนการแก้ไขช่องโหว่
เอพีรายงานว่า ที่ประเทศอังกฤษ สำนักนายกรัฐมนตรีอังกฤษ ระบุว่า บริการบางส่วนของรัฐบาล อาจจำเป็นต้องหยุดให้บริการชั่วคราวในระหว่างที่มีการดำเนินการแก้ไขปัญหาความปลอดภัยทางไซเบอร์ที่อาจเกิดขึ้น
โดยโฆษกหญิงของสำนักนายกฯอังกฤษ เปิดเผยเมื่อวันที่ 22 ตุลาคมว่า “มีการดำเนินการทั่วทั้งหน่วยงานรัฐบาลเพื่อระบุและแก้ไขจุดเสี่ยงที่อาจเกิดขึ้นกับระบบของเรา โดยผู้เชี่ยวชาญของเรากำลังทำงานร่วมกับ OpenAI และพันธมิตรระหว่างประเทศอย่างใกล้ชิดในประเด็นนี้ ขณะที่บริการสำคัญที่เกี่ยวข้องกับสาธารณชนในวงกว้างไม่ได้รับผลกระทบจากการดำเนินการดังกล่าว แต่บริการบางส่วนอาจจำเป็นต้องหยุดให้บริการชั่วคราวในระหว่างที่มีการแก้ไขปัญหาความปลอดภัย”
ขณะที่เว็บไซต์ของรัฐบาลฟินแลนด์ ระบุว่า ปัญหาการหยุดชะงักได้รับการแก้ไขแล้ว แต่เนื้อหาบางส่วนยังคงหายไป และกำลังอยู่ระหว่างการกู้คืน
ที่ประเทศญี่ปุ่น เว็บไซต์ของจังหวัดโอซากา ระบุว่า บริการแปลภาษาด้วยเครื่องแปลภาษา ไม่สามารถใช้งานได้ เนื่องจากระบบขัดข้อง
ด้านนางซานาเอะ ทาคาอิจิ นายกรัฐมนตรีญี่ปุ่น ได้เผยแพร่คำเตือนจากรัฐบาล ผ่านทางโซเชียลมีเดีย โดยแนะนำให้ผู้ดูแลเว็บไซต์ ตรวจสอบว่า มีการใช้ภาษา PHP หรือไม่ และให้รีบติดตั้งแพตช์ สำหรับแก้ไข ที่ปล่อยออกมาเมื่อช่วงคืนวันที่ 21 ตุลาคมที่ผ่านมาดดยทันที
ทาคาอิจิ กล่าวว่า หากไม่สามารถติดตั้งแพตช์แก้ไขได้ทันที การปิดเว็บไซต์ชั่วคราวหรือมาตรการอื่นๆ ในลักษณะเดียวกัน ถือเป็นวิธีที่มีประสิทธิภาพในการลดความเสี่ยง
มิโนรุ คิฮาระ เลขาธิการคณะรัฐมนตรีญี่ปุ่น กล่าวว่า รัฐบาลยังไม่ได้รับรายงานความเสียหายจากการโจมตีทางไซเบอร์ ที่เกี่ยวข้องกับช่องโหว่ใน PHP และว่า มีการปิดเว็บไซต์ของหน่วยงานรัฐบางส่วนเป็นการชั่วคราวเพื่อลดความเสี่ยง ซึ่งเป็นการทำไปเพื่อความปลอดภัยไว้ก่อน
เจมส์ ซัลลิแวน ผู้อำนวยการฝ่ายไซเบอร์และเทคโนโลยี ของ Royal United Services Institute ในกรุงลอนดอน ประเทศอังกฤษ อธิบายว่า ช่องโหว่ร้ายแรง 2 จุดที่เอไอตรวจพบ อาจเปิดช่องให้ผู้ไม่หวังดีเข้าถึงเว็บไซต์ได้โดยไม่ต้องผ่านการยืนยันตัวตน ซึ่งในทางทฤษฎีแล้ว อาจทำให้ผู้โจมตีสามารถควบคุมเซิร์ฟเวอร์จากระยะไกลได้โดยไม่ต้องใช้รหัสผ่าน สิ่งนี้อาจเปิดโอกาสให้แฮกเกอร์เข้าไปขโมยข้อมูล แก้ไขข้อมูล หรือใช้ระบบดังกล่าวเป็นฐานในการโจมตีเป้าหมายอื่นๆต่อไปได้
ซัลลิแวน มองว่า การปิดเว็บไซต์ชั่วคราวระหว่างดำเนินการแก้ไขปัญหา ถือเป็น แนวทางปฏิบัติที่ดี และเป็นการจัดการความเสี่ยงทางไซเบอร์ที่เหมาะสม แต่ก็รู้สึกตกใจที่พบว่า ช่องโหว่บางจุดมีอายุมากกว่าทศวรรษ ซึ่งก็คือตั้งแต่ช่วงที่ซอฟต์แวร์นี้ถูกสร้างขึ้นมาครั้้งแรก
ทั้งนี้ เอไอมีส่วนช่วยในการค้นพบช่องโหว่เหล่านี้ โดย OpenAI ระบุในบล็อกโพสต์ว่า ทางบริษัทได้เป็นแกนนำร่วมกับกลุ่มนักวิจัย ผู้ให้บริการด้านความปลอดภัย และภาคส่วนอื่นๆ ในช่วง 2 เดือนที่ผ่านมา เพื่อจัดการกับช่องโหว่ใน PHP
OpenAI เรียกช่องโหว่เหล่านี้ว่าเป็นหนึ่งในปัญหาด้านความปลอดภัยที่ส่งผลกระทบมากที่สุดเท่าที่เคยพบมาในช่วงหลัง และว่า เอไอ ดูเหมือนจะตรวจพบช่องโหว่เหล่านี้ได้ก่อนที่ผู้โจมตีจะค้นพบ
ทางด้านมูลนิธิ PHP ระบุว่าช่องโหว่นี้เป็นที่ทราบกันมาตั้งแต่ช่วงต้นปี 2024 เป็นอย่างน้อย โดยทางมูลนิธิยอมรับความรับผิดชอบบางส่วนที่ไม่สามารถหาแนวทางแก้ไขได้เร็วกว่านี้ และว่า ความล่าช้าที่เกิดขึ้นถือเป็นความล้มเหลวเชิงโครงสร้าง ซึ่งมีสาเหตุมาจากทั้งกระบวนการตัดสินใจของทีมรักษาความปลอดภัยและการขาดแคลนทรัพยากร
ชาร์ล ฟาน เดอร์ วอลต์ หัวหน้าฝ่ายวิจัยความปลอดภัยของ Orange Cyberdefense กล่าวว่า หากจะเปรียบเทียบให้เห็นภาพ ขอบเขตความเสียหายที่อาจเกิดขึ้นนั้นถือว่ามหาศาลอย่างยิ่ง สิ่งที่เรากำลังเห็นอยู่ขณะนี้ เป็นเพียงสัญญาณเตือนเบื้องต้นเท่านั้น สิ่งที่จะตามมาในช่วงหลายสัปดาห์ และหลายเดือนขจ้างหน้า อาจมีความรุนแรงมากกว่านี้อีกมาก นั่นเป็นเพราะ PHP เป็นรากฐานสำคัญในการทำงานของเว็บไซต์หรือแอพพลิเคชั่นจำนวนมาก โดยอาจแฝงตัวอยู่ลึกๆในสิ่งต่างๆ ตั้งแต่บล็อกออนไลน์ ไปจนถึงเครื่องปิ้งขนมปังที่เชื่อมต่ออินเตอร์เน็ต หรือแม้แต่กล้องสำหรับเฝ้าดูเด็กทารก
ชาร์ล ฟาน เดอร์ วอลต์ ระบุว่า ขณะที่นักพัฒนาซอฟต์แวร์จำเป็นต้องแก้ไขบั๊ก (ข้อผิดพลาด) เหล่านั้น ระบบต่างๆที่นำซอฟต์แวร์นี้ไปใช้งานก็จำเป็นต้องได้รับการแก้ไขเช่นกัน ซึ่งหมายความว่า บริษัทต่างๆ ต้องตระหนักก่อนว่า ตนกำลังใช้งานซอฟต์แวร์ดังกล่าวอยู่ จากนั้น บริษัทเหล่านั้นจำเป็นต้องระบุว่า ซอฟต์แวร์นี้กำลังทำงานอยู่ในระบบใดบ้าง ระบุว่าใครเป็นเจ้าของระบบเหล่านั้นและทำการประเมินความเสี่ยงว่าควรจะอัพเดตแพตช์แก้ไขเมื่อใดและสามารถทำได้หรือไม่
พร้อมกล่าวเสริมว่า ช่วงเวลาที่ต้องเร่งแก้ไขปัญหานี้อย่างเข้มข้นที่สุด น่าจะอยู่ในช่วงไม่กี่สัปดาห์ข้างหน้า แต่อาจต้องใช้เวลาเป็นเดือนหรือเป็นปี กว่าที่จะตามกำจัดช่องโหว่เป็นระบบที่ตกค้างอยู่ทั้งหมดได้
ซัลลิแวนกล่าวว่า “เรื่องนี้มีทั้งข่าวดีและข่าวร้าย” โดยอธิบายว่าในด้านหนึ่ง AI อาจช่วยให้ผู้โจมตีค้นพบช่องโหว่ใหม่ๆ ได้ แต่ในอีกด้านหนึ่ง AI ก็สามารถช่วยตรวจพบและแก้ไขช่องโหว่เหล่านั้นได้เช่นกัน
ซัลลิแวนระบุว่า ช่องโหว่หนึ่งส่งผลกระทบต่อหน่วยความจำของระบบ ทำให้ระบบไม่สามารถจดจำข้อมูลบางส่วนได้ ซึ่งเปิดช่องให้ผู้โจมตีสามารถใช้โค้ดของตนเองเข้าแทรกแซงระบบได้ ส่วนอีกช่องโหว่หนึ่งทำให้ข้อมูลของผู้ใช้งานยังคงถูกเก็บไว้ในระบบแทนที่จะถูกลบออกไป ซึ่งอาจเปิดโอกาสให้ผู้ไม่หวังดีเข้าถึงข้อมูลดังกล่าว รวมถึงดาวน์โหลดหรือลบข้อมูลทิ้งได้
เขากล่าวว่าเหตุผลที่เว็บไซต์บางแห่งอาจยังคงใช้งานไม่ได้ เป็นเพราะมีแพตช์ หลายตัวสำหรับซอฟต์แวร์ประเภทต่างๆ ซึ่งบางองค์กรอาจยังไม่ได้รับแพตช์เหล่านั้น อีกทั้งยังจำเป็นต้องมีการทดสอบเพื่อให้มั่นใจว่าแพตช์ดังกล่าวใช้งานได้จริง
อย่างไรก็ตาม ฟาน เดอร์ วอลต์ กล่าวว่า แม้ เอไอ จะสามารถนำมาช่วยแก้ไขช่องโหว่ได้ แต่นั่นยังไม่ใช่บทสรุปทั้งหมด ในขณะที่ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ได้ ฝ่ายป้องกันก็จำเป็นต้องแก้ไขช่องโหว่นั้น ซึ่งแพตช์ที่นำมาใช้จะต้องมีความเสถียร ผ่านการทดสอบ และได้รับการอนุมัติแล้ว
ฟาน เดอร์ วอลต์ ยกตัวอย่างสถานการณ์สมมติว่า อาจมีปัญหาในการเข้าถึงอุปกรณ์ทางกายภาพที่ซอฟต์แวร์นั้นทำงานอยู่ เช่น เครื่องกระตุ้นหัวใจที่ฝังอยู่ในร่างกายผู้ป่วย หรือระบบความบันเทิงบนเครื่องบิน “การแก้ไขปัญหาไม่ได้ง่ายเสมอไปเพียงแค่การค้นพบปัญหา ในตอนนี้ ผมคิดว่าเราอยู่ในช่วงเวลาที่ฝ่ายผู้โจมตีกำลังได้เปรียบจากการใช้ เอไอ มากกว่าฝ่ายป้องกัน”