ทั่วโลกเร่งอัพเดตความปลอดภัย หลังพบช่องโหว่ใน PHP  กระทบ 70% ของเว็บไซต์ทั่วโลก

เมื่อวันที่ 23 ตุลาคม สำนักข่าวเอพีรายงานว่า หน่วยงานภาครัฐและองค์กรธุรกิจทั่วโลก ต่างเร่งดำเนินการอัพเดตความปลอดภัยตลอดทั้งคืนที่ผ่านมา หลังจากมีการค้นพบช่องโหว่ในภาษาโปรแกรมที่สำคัญ ซึ่งเป็นรากฐานของเว็บไซต์กว่า 70 เปอร์เซ็นต์ทั่วโลก ซึ่งการค้นพบช่องโหว่ดังกล่าว ได้รับการช่วยเหลือจากปัญญาประดิษฐ์ หรือเอไอ

โดยตลอดวันที่ 22 ตุลาคมที่ผ่านมา บรรดาเว็บไซต์ของหน่วยงานรัฐบาลหลายแห่ง ยังดูเหมือนจะใช้งานได้ตามปกติ แต่ก็ยังพบการล่มของเว็บไซต์หรือการให้บริการที่จำกัดระหว่างที่มีการดำเนินการด้านความปลอดภัย

ขณะที่แผนกไซเบอร์ของสำนักงานสอบสวนกลางสหรัฐ หรือเอฟบีไอ ได้ออกคำเตือนเมื่อวันที่ 21 ตุลาคมว่า ช่องโหว่ดังกล่าวอาจเปิดช่องให้ผู้ไม่หวังดีสามารถสั่งรันโค้ดจากระยะไกลผ่านภาษาโปรแกรม PHP ซึ่งเป็นภาษาที่ใช้ขับเคลื่อนเว็บไซต์ และเว็บแอพพลิเคชั่นต่างๆ ส่งผลให้ข้อมูลสำคัญและเครือข่ายตกอยู่ในความเสี่ยง โดยทางเอฟบีไอแนะนำว่า หากยังไม่สามารถอัพเดตระบบได้ทันที ผู้ดูแลเว็บไซต์ควรจะปิดการใช้งานเว็บเป็นการชั่วคราว

ทั้งนี้ ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ให้สัมภาษณ์กับสำนักข่าวเอพีว่า ผลกระทบจากช่องโหว่ที่พบนี้อาจส่งผลต่อเนื่องไปอีกระยะหนึ่ง แต่ชื่นชมว่าหน่วยงานรัฐบาลต่างๆ ได้ปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยทางไซเบอร์ ด้วยการปิดเว็บไซต์ชั่วคราวในระหว่างขั้นตอนการแก้ไขช่องโหว่

เอพีรายงานว่า ที่ประเทศอังกฤษ สำนักนายกรัฐมนตรีอังกฤษระบุว่า บริการบางส่วนของรัฐบาล อาจจำเป็นต้องหยุดให้บริการชั่วคราวในระหว่างที่มีการดำเนินการแก้ไขปัญหาความปลอดภัยทางไซเบอร์ที่อาจเกิดขึ้น

โดยโฆษกหญิงของสำนักนายกฯอังกฤษเปิดเผยเมื่อวันที่ 22 ตุลาคมว่า “มีการดำเนินการทั่วทั้งหน่วยงานรัฐบาลเพื่อระบุและแก้ไขจุดเสี่ยงที่อาจเกิดขึ้นกับระบบของเรา โดยผู้เชี่ยวชาญของเรากำลังทำงานร่วมกับ OpenAI และพันธมิตรระหว่างประเทศอย่างใกล้ชิดในประเด็นนี้ ขณะที่บริการสำคัญที่เกี่ยวข้องกับสาธารณชนในวงกว้างไม่ได้รับผลกระทบจากการดำเนินการดังกล่าว แต่บริการบางส่วนอาจจำเป็นต้องหยุดให้บริการชั่วคราวในระหว่างที่มีการแก้ไขปัญหาความปลอดภัย”

ขณะที่เว็บไซต์ของรัฐบาลฟินแลนด์ระบุว่า ปัญหาการหยุดชะงักได้รับการแก้ไขแล้ว แต่เนื้อหาบางส่วนยังคงหายไป และกำลังอยู่ระหว่างการกู้คืน

ที่ประเทศญี่ปุ่น เว็บไซต์ของจังหวัดโอซาการะบุว่า บริการแปลภาษาด้วยเครื่องแปลภาษา ไม่สามารถใช้งานได้ เนื่องจากระบบขัดข้อง

ด้านนางซานาเอะ ทาคาอิจิ นายกรัฐมนตรีญี่ปุ่น ได้เผยแพร่คำเตือนจากรัฐบาลผ่านทางโซเชียลมีเดีย โดยแนะนำให้ผู้ดูแลเว็บไซต์ตรวจสอบว่ามีการใช้ภาษา PHP หรือไม่ และให้รีบติดตั้งแพตช์สำหรับแก้ไข ที่ปล่อยออกมาเมื่อช่วงคืนวันที่ 21 ตุลาคมที่ผ่านมาโดยทันที

ทาคาอิจิกล่าวว่า หากไม่สามารถติดตั้งแพตช์แก้ไขได้ทันที การปิดเว็บไซต์ชั่วคราวหรือมาตรการอื่นๆ ในลักษณะเดียวกัน ถือเป็นวิธีที่มีประสิทธิภาพในการลดความเสี่ยง

มิโนรุ คิฮาระ เลขาธิการคณะรัฐมนตรีญี่ปุ่น กล่าวว่า รัฐบาลยังไม่ได้รับรายงานความเสียหายจากการโจมตีทางไซเบอร์ ที่เกี่ยวข้องกับช่องโหว่ใน PHP และว่า มีการปิดเว็บไซต์ของหน่วยงานรัฐบางส่วนเป็นการชั่วคราวเพื่อลดความเสี่ยง ซึ่งเป็นการทำไปเพื่อความปลอดภัยไว้ก่อน

เจมส์ ซัลลิแวน ผู้อำนวยการฝ่ายไซเบอร์และเทคโนโลยี ของ Royal United Services Institute ในกรุงลอนดอน ประเทศอังกฤษ อธิบายว่า ช่องโหว่ร้ายแรง 2 จุดที่เอไอตรวจพบ อาจเปิดช่องให้ผู้ไม่หวังดีเข้าถึงเว็บไซต์ได้โดยไม่ต้องผ่านการยืนยันตัวตน ซึ่งในทางทฤษฎีแล้ว อาจทำให้ผู้โจมตีสามารถควบคุมเซิร์ฟเวอร์จากระยะไกลได้โดยไม่ต้องใช้รหัสผ่าน สิ่งนี้อาจเปิดโอกาสให้แฮกเกอร์เข้าไปขโมยข้อมูล แก้ไขข้อมูล หรือใช้ระบบดังกล่าวเป็นฐานในการโจมตีเป้าหมายอื่นๆ ต่อไปได้

ซัลลิแวนมองว่า การปิดเว็บไซต์ชั่วคราวระหว่างดำเนินการแก้ไขปัญหา ถือเป็นแนวทางปฏิบัติที่ดี และเป็นการจัดการความเสี่ยงทางไซเบอร์ที่เหมาะสม แต่ก็รู้สึกตกใจที่พบว่า ช่องโหว่บางจุดมีอายุมากกว่าทศวรรษ ซึ่งก็คือตั้งแต่ช่วงที่ซอฟต์แวร์นี้ถูกสร้างขึ้นมาครั้้งแรก

ทั้งนี้ เอไอมีส่วนช่วยในการค้นพบช่องโหว่เหล่านี้ โดย OpenAI ระบุในบล็อกโพสต์ว่า ทางบริษัทได้เป็นแกนนำร่วมกับกลุ่มนักวิจัย ผู้ให้บริการด้านความปลอดภัย และภาคส่วนอื่นๆ ในช่วง 2 เดือนที่ผ่านมา เพื่อจัดการกับช่องโหว่ใน PHP

OpenAI เรียกช่องโหว่เหล่านี้ว่าเป็นหนึ่งในปัญหาด้านความปลอดภัยที่ส่งผลกระทบมากที่สุดเท่าที่เคยพบมาในช่วงหลัง และว่า เอไอดูเหมือนจะตรวจพบช่องโหว่เหล่านี้ได้ก่อนที่ผู้โจมตีจะค้นพบ

ทางด้านมูลนิธิ PHP ระบุว่าช่องโหว่นี้เป็นที่ทราบกันมาตั้งแต่ช่วงต้นปี 2024 เป็นอย่างน้อย โดยทางมูลนิธิยอมรับความรับผิดชอบบางส่วนที่ไม่สามารถหาแนวทางแก้ไขได้เร็วกว่านี้ และว่า ความล่าช้าที่เกิดขึ้นถือเป็นความล้มเหลวเชิงโครงสร้าง ซึ่งมีสาเหตุมาจากทั้งกระบวนการตัดสินใจของทีมรักษาความปลอดภัยและการขาดแคลนทรัพยากร

ชาร์ล ฟาน เดอร์ วอลต์ หัวหน้าฝ่ายวิจัยความปลอดภัยของ Orange Cyberdefense กล่าวว่า หากจะเปรียบเทียบให้เห็นภาพ ขอบเขตความเสียหายที่อาจเกิดขึ้นนั้นถือว่ามหาศาลอย่างยิ่ง สิ่งที่เรากำลังเห็นอยู่ขณะนี้ เป็นเพียงสัญญาณเตือนเบื้องต้นเท่านั้น สิ่งที่จะตามมาในช่วงหลายสัปดาห์ และหลายเดือนข้างหน้า อาจมีความรุนแรงมากกว่านี้อีกมาก นั่นเป็นเพราะ PHP เป็นรากฐานสำคัญในการทำงานของเว็บไซต์หรือแอพพลิเคชั่นจำนวนมาก โดยอาจแฝงตัวอยู่ลึกๆ ในสิ่งต่างๆ ตั้งแต่บล็อกออนไลน์ ไปจนถึงเครื่องปิ้งขนมปังที่เชื่อมต่ออินเตอร์เน็ต หรือแม้แต่กล้องสำหรับเฝ้าดูเด็กทารก

ชาร์ล ฟาน เดอร์ วอลต์ ระบุว่า ขณะที่นักพัฒนาซอฟต์แวร์จำเป็นต้องแก้ไขบั๊ก (ข้อผิดพลาด) เหล่านั้น ระบบต่างๆ ที่นำซอฟต์แวร์นี้ไปใช้งานก็จำเป็นต้องได้รับการแก้ไขเช่นกัน ซึ่งหมายความว่า บริษัทต่างๆ ต้องตระหนักก่อนว่า ตนกำลังใช้งานซอฟต์แวร์ดังกล่าวอยู่ จากนั้นบริษัทเหล่านั้นจำเป็นต้องระบุว่า ซอฟต์แวร์นี้กำลังทำงานอยู่ในระบบใดบ้าง ระบุว่าใครเป็นเจ้าของระบบเหล่านั้นและทำการประเมินความเสี่ยงว่าควรจะอัพเดตแพตช์แก้ไขเมื่อใดและสามารถทำได้หรือไม่

พร้อมกล่าวเสริมว่า ช่วงเวลาที่ต้องเร่งแก้ไขปัญหานี้อย่างเข้มข้นที่สุด น่าจะอยู่ในช่วงไม่กี่สัปดาห์ข้างหน้า แต่อาจต้องใช้เวลาเป็นเดือนหรือเป็นปี กว่าที่จะตามกำจัดช่องโหว่เป็นระบบที่ตกค้างอยู่ทั้งหมดได้

ซัลลิแวนกล่าวว่า “เรื่องนี้มีทั้งข่าวดีและข่าวร้าย” โดยอธิบายว่าในด้านหนึ่ง AI อาจช่วยให้ผู้โจมตีค้นพบช่องโหว่ใหม่ๆ ได้ แต่ในอีกด้านหนึ่ง AI ก็สามารถช่วยตรวจพบและแก้ไขช่องโหว่เหล่านั้นได้เช่นกัน

ซัลลิแวนระบุว่า ช่องโหว่หนึ่งส่งผลกระทบต่อหน่วยความจำของระบบ ทำให้ระบบไม่สามารถจดจำข้อมูลบางส่วนได้ ซึ่งเปิดช่องให้ผู้โจมตีสามารถใช้โค้ดของตนเองเข้าแทรกแซงระบบได้ ส่วนอีกช่องโหว่หนึ่งทำให้ข้อมูลของผู้ใช้งานยังคงถูกเก็บไว้ในระบบแทนที่จะถูกลบออกไป ซึ่งอาจเปิดโอกาสให้ผู้ไม่หวังดีเข้าถึงข้อมูลดังกล่าว รวมถึงดาวน์โหลดหรือลบข้อมูลทิ้งได้

เขากล่าวว่าเหตุผลที่เว็บไซต์บางแห่งอาจยังคงใช้งานไม่ได้ เป็นเพราะมีแพตช์ หลายตัวสำหรับซอฟต์แวร์ประเภทต่างๆ ซึ่งบางองค์กรอาจยังไม่ได้รับแพตช์เหล่านั้น อีกทั้งยังจำเป็นต้องมีการทดสอบเพื่อให้มั่นใจว่าแพตช์ดังกล่าวใช้งานได้จริง

อย่างไรก็ตาม ฟาน เดอร์ วอลต์ กล่าวว่า แม้เอไอจะสามารถนำมาช่วยแก้ไขช่องโหว่ได้ แต่นั่นยังไม่ใช่บทสรุปทั้งหมด ในขณะที่ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ได้ ฝ่ายป้องกันก็จำเป็นต้องแก้ไขช่องโหว่นั้น ซึ่งแพตช์ที่นำมาใช้จะต้องมีความเสถียร ผ่านการทดสอบ และได้รับการอนุมัติแล้ว

ฟาน เดอร์ วอลต์ ยกตัวอย่างสถานการณ์สมมุติว่า อาจมีปัญหาในการเข้าถึงอุปกรณ์ทางกายภาพที่ซอฟต์แวร์นั้นทำงานอยู่ เช่น เครื่องกระตุ้นหัวใจที่ฝังอยู่ในร่างกายผู้ป่วย หรือระบบความบันเทิงบนเครื่องบิน “การแก้ไขปัญหาไม่ได้ง่ายเสมอไปเพียงแค่การค้นพบปัญหา ในตอนนี้ ผมคิดว่าเราอยู่ในช่วงเวลาที่ฝ่ายผู้โจมตีกำลังได้เปรียบจากการใช้เอไอ มากกว่าฝ่ายป้องกัน”