"มันหนักหนาสาหัสมาก" คนไอทีชั้นแนวหน้าในการรับมือกับภัยคุกคามทางไซเบอร์ของ PHP เปิดใจ

สัตยา นาเดลลา ประธานเจ้าหน้าที่บริหารของไมโครซอฟท์กล่าวว่าเขาไม่เคยเห็นเหตุการณ์ฉุกเฉินแบบพีเอชพี (PHP) มาก่อน "เป็นเวลานานมากแล้ว"

เขากล่าวในการประชุมโดยอ้างถึงความพยายามระดับโลกที่กำลังดำเนินอยู่เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยทางไซเบอร์ที่สำคัญในเว็บไซต์หลายล้านแห่งว่า "ผมรู้ว่ามันเป็นวันที่ยาวนานและคืนที่ยาวนานสำหรับบุคลากรด้านไอทีและด้านความปลอดภัยทุกคน"

ผู้เชี่ยวชาญด้านไอทีและไซเบอร์คนอื่น ๆ ได้เล่าถึงความยากลำบากที่พวกเขาเผชิญในช่วง 48 ชั่วโมงที่ผ่านมาให้บีบีซีฟัง ซึ่งเรื่องราวเหล่านั้นทำให้เราได้เห็นภาพว่าการรับมือกับเหตุฉุกเฉินทางไซเบอร์ครั้งใหญ่เป็นอย่างไร แต่ยังเน้นให้เห็นว่าข้อมูลที่ผิดพลาดและความตื่นตระหนกทำให้สถานการณ์เลวร้ายลงไปอีกมาก

"มันหนักหนาสาหัสมาก" อดัม มัดด์ ผู้ดูแลระบบที่อาศัยอยู่ในสหราชอาณาจักรกล่าว

เขาบอกว่าเขาไม่เคยได้รับข้อความมากมายขนาดนี้จากคนที่กังวลเกี่ยวกับเว็บไซต์ของพวกเขามาก่อน

"ความท้าทายที่ใหญ่ที่สุดคือการรับมือกับลูกค้าที่ต้องการให้เว็บไซต์ของตนถูกปิดใช้งานชั่วคราวเพื่อเป็นการป้องกันไว้ก่อน ในขณะเดียวกันก็ต้องประสานงานการอัปเดตและการแก้ไขต่าง ๆ ในระบบที่แตกต่างกันมากมาย" เขากล่าว

"บางครั้งผมใช้เวลาในการปิดเว็บไซต์นานกว่าแก้ไขปัญหา PHP เสียอีก"

PHP เป็นภาษาโปรแกรมยอดนิยมที่ใช้ขับเคลื่อนเว็บไซต์นับล้านแห่ง

แต่พบข้อบกพร่องที่สำคัญสองประการในระบบ ซึ่งนำไปสู่การตอบสนองฉุกเฉิน โดยหน่วยงานด้านความมั่นคงทางไซเบอร์ของประเทศได้เร่งให้ทีมไอทีดาวน์โหลดแพทช์แก้ไขช่องโหว่ด้านความปลอดภัยโดยด่วน หรือปิดเว็บไซต์และเซิร์ฟเวอร์บางส่วน

มัดด์กล่าวว่านับตั้งแต่นั้นมา เขาอยู่ภายใต้ความกดดันอย่างมหาศาลและต้องสละเวลานอนไปมาก โดยต้องทำงานแต่เช้าและเลิกงานเวลา 22:30 น. ตามเวลามาตรฐานในอังกฤษ (BST) เพื่อรักษาความปลอดภัยให้กับระบบของลูกค้า

'ราวกับฉากแอ็คชั่นแบบฮอลลีวูด'

ในประเทศมอริเชียส โลกาเนเดน เวลวินดรอน ผู้ดูแลระบบไอที กล่าวว่าเขาก็ทำงานหนักมากเช่นกันนับตั้งแต่ทีมของเขาตระหนักว่าซอฟต์แวร์ต่าง ๆ พึ่งพา PHP มากเพียงใด

"PHP หลายเวอร์ชันที่ใช้งานอยู่หมดอายุการใช้งานอย่างสมบูรณ์แล้ว ดังนั้นเราจึงต้องสร้างเว็บแอปพลิเคชันขึ้นใหม่และแก้ไขโค้ดในบางกรณี" เขากล่าว

เขากล่าวว่าส่วนหนึ่งของปัญหาคือการประกาศเกี่ยวกับช่องโหว่ด้านความปลอดภัยใน PHP นั้นเกิดขึ้นอย่างกะทันหัน ทำให้ไม่มีเวลาเตรียมตัวรับมือมากนัก

จอน โจนส์ ผู้อำนวยการฝ่ายเทคนิคของบริษัทโฆษณาดิจิทัลแห่งหนึ่งก็ถูกกระตุ้นให้ลงมือทำเช่นกันหลังจากได้รับการแจ้งเตือนเหล่านั้น

"การเห็นระดับสัญญาณเตือนภัยลดลงนั้นเป็นเรื่องที่น่าตกใจและเป็นประสบการณ์ใหม่ที่เราไม่เคยเจอมาก่อน" เขากล่าว

"แต่ในอีกแง่หนึ่ง มันก็ตื่นเต้นดี รู้สึกเหมือนกำลังอยู่ในฉากแอ็คชั่นของฮอลลีวูด"

มูลนิธิพีเอชพี (PHP Foundation) ซึ่งเป็นผู้ดูแลภาษาโปรแกรม ได้ปล่อยซอฟต์แวร์แก้ไขปัญหาออกมา และเกิดการแย่งกันดาวน์โหลดอย่างคึกคัก

โจนส์กล่าวว่าเขารู้สึกเหมือน "การแข่งขันได้เริ่มต้นขึ้นแล้ว" เมื่อแพทช์ดังกล่าวเปิดตัวเวลา 15:00 น. (ตามเวลามาตรฐานในอังกฤษ) ในวันพุธที่ผ่านมา

"มันค่อนข้างน่ากังวลใจเช่นกัน เพราะใครก็ตามที่เคยอัปเดตซอฟต์แวร์มาก่อนจะรู้ว่า มีโอกาสเสมอที่การอัปเดตอาจทำให้เกิดปัญหาอื่น ๆ ตามมา" เขากล่าว

ความเร่งรีบเกิดขึ้นเนื่องจากมีคนปล่อยรายละเอียดเกี่ยวกับช่องโหว่ของ PHP ออกมาก่อนกำหนด และมีข่าวลืออย่างหนักว่าเหล่าอาชญากรไซเบอร์กำลังพยายามโจมตีอยู่แล้ว

แต่ผู้เชี่ยวชาญด้านไซเบอร์ก็เริ่มตั้งคำถามแล้วว่าข่าวลือเหล่านั้นเป็นเรื่องจริงหรือไม่

"เราได้รับข้อมูลเท็จมากมายเกี่ยวกับแฮกเกอร์ที่กำลังปฏิบัติการอย่างแข็งขันโดยใช้วิธีการพิสูจน์ความเป็นไปได้ของแนวคิด (Proof of Concept - PoC)" แดเนียล คาร์ด ผู้เชี่ยวชาญด้านไซเบอร์ของสหราชอาณาจักรกล่าว

เขากล่าวว่าเขาเองก็ยุ่งมากตั้งแต่วันอังคารที่ผ่านมา หลังจากข่าวลือเรื่องการแฮ็ก PHP เริ่มแพร่กระจาย

"นี่ไม่ใช่ครั้งแรกที่เราเจอสถานการณ์แบบนี้ แต่ครั้งนี้มันหนักหนาสาหัสกว่ามาก" เขากล่าว

เขาเห็นด้วยว่าในทางทฤษฎีแล้วช่องโหว่ของ PHP นั้นร้ายแรงมากและควรได้รับการแก้ไขอย่างจริงจัง แต่เขารวมถึงคนอื่น ๆ อีกหลายคนรู้สึกหงุดหงิดกับข้อมูลที่ผิดพลาดเกี่ยวกับการที่แฮกเกอร์กำลังอาละวาดอยู่

ความกังวลเกี่ยวกับ 'อาการเหนื่อยล้าจากการแจ้งเตือน'

นอกเหนือจากคำเตือนจากหน่วยงานภาครัฐ รวมถึงนายกรัฐมนตรีของญี่ปุ่นแล้ว บริษัทด้านความปลอดภัยทางไซเบอร์ก็ยังแจ้งเตือนผิดพลาดซึ่งไม่ได้ช่วยอะไรเลย

บริษัทชั้นนำแห่งหนึ่งในอุตสาหกรรมนี้เคยออกคำเตือนว่าแฮกเกอร์ได้สร้างต้นแบบการทำงาน (PoC) ที่ใช้งานได้จริงแล้ว แต่ต่อมาก็ต้องถอนคำเตือนนั้นออกไป

แม้ว่าคลาวด์แฟลร์ (Cloudflare) และแอมะซอน เว็บ เซอร์วิส (AWS) จะออกมาเตือนว่ามีการพยายามแฮ็กเกิดขึ้น "หลายล้านครั้ง" ทุกชั่วโมง แต่ก็ไม่มีหลักฐานใด ๆ ที่บ่งชี้ว่ามีการรั่วไหลของข้อมูลหรือการโจมตีทางไซเบอร์ในวงกว้าง

เป็นความจริงที่ว่าแฮกเกอร์ได้ใช้ปัญญาประดิษฐ์ หรือ เอไอ เพื่อพยายามสร้างวิธีการโจมตี แต่ในขณะนี้ยังไม่มีวิธีการใดที่ได้ผลในวงกว้าง ซึ่งอาจเปลี่ยนแปลงได้ในเร็ว ๆ นี้

นอกจากนี้ ยังมีการใช้เอไอเพื่อค้นหาจุดอ่อนของ PHP ซึ่งถูกซ่อนไว้จากนักวิจัยที่เป็นมนุษย์มานานหลายทศวรรษ

บุคลากรด้านไอทีที่เราได้พูดคุยด้วยต่างเห็นพ้องกันว่า ช่องโหว่ร้ายแรงประเภทนี้จะถูกเปิดเผยบ่อยขึ้นในอนาคต เนื่องจากเครื่องมือเอไอมีความสามารถในการแฮ็กสูงขึ้นมากแล้ว

แต่บางคนในอุตสาหกรรมกังวลเกี่ยวกับวิธีการแจ้งเตือนผู้คนเกี่ยวกับช่องโหว่ร้ายแรงใน PHP เนื่องจากพวกเขากลัวว่าการพัฒนาด้านเอไอจะทำให้เกิดเหตุการณ์เช่นนี้ขึ้นอีก

มาร์ค มอนเดอร์ ผู้ก่อตั้งเวิร์ดเฟนซ์ (Wordfence) เครื่องมือรักษาความปลอดภัยสำหรับเวิร์ดเพรส (Wordpress) โพสต์ว่า "เราจะพบช่องโหว่ที่น่ากลัวด้วยความสามารถอันน่าทึ่งที่โอเพนเอไอ (OpenAI) และแอนโทรปิก (Anthropic) นำมาใช้งาน แต่เราจำเป็นต้องปรับแต่งการสื่อสารให้เหมาะสม"

เขากล่าวว่ามีความเสี่ยงที่จะเกิด "ภาวะเหนื่อยล้าจากการแจ้งเตือน" ซึ่งอาจเป็นปัญหาใหญ่หากเกิดช่องโหว่ร้ายแรงที่สามารถใช้ประโยชน์ได้อย่างเต็มที่