PHP on serveripoolne tarkvaralahendus, mille abil veebilehed ja veebiteenused oma tööd teevad, selgitas riigi infosüsteemi ameti (RIA) küberturvalisuse keskuse intsidentide käsitlemise osakonna juht Taavi Kupper.

Ta tõi näite, et kui inimene läheb e-poodi, näeb ta ekraanil tooteid, hindu ja ostukorvi. Keegi peab taustal ära tegema eeltöö – otsima toodete hindu, kontrollima laoseisu, arvestama ostukorvi summad ja salvestama tellimuse. Seda tööd serveri ja veebirakenduse vahel teeb PHP.

PHP-d on veebiarenduses kasutatud juba aastakümneid ning selle peal töötab umbes 70 protsenti internetilehekülgedest.

Haavatavad on PHP versioonid 5 kuni 8, kuid Kupperi sõnul saab turvaparanduse paigaldada ainult kaheksanda versiooni kasutajatele. "Versioonide 5 kuni 7 puhul on tulevikumuusika, kas sinna üldse mingi uuendus peale tuleb – nemad peavad praegu mingeid muid leevendavaid või tehniliselt ajutisi meetmeid rakendama."

Kaks avastatud turvaauku võimaldasid siseneda keskkonda, kus tarkavara kasutusel oli, kasutajanime ja parooli teadmata. Kliendid otseselt haavatavad ei olnud, küll aga olid haavatavad kogu lehekülgede süsteem, seal peal jooksev teenus ning seal sees olevad andmed.

Kolmapäeval teatati turvaaukudest ning lasti välja tarkvara uuendus. Samas üle kogu maailma võtsid erinevad teenusepakkujad oma veebileheküljed ajutiselt maha.

Kupper rääkis, et teenuseomanikud võisid veebileheküljed ennetavalt maha võtta, kuna nad ei pruukinud teada, kuidas oma versiooni puhul reageerida. Teine variant oli see, et PHP versiooni uuendamisel tuli süsteemile taaskäivitus teha. 

"Taaskäivitus võib erinevates süsteemides ja ahelates võtta erinevalt aega – mõnest minutist mõne tunnini. Sellepärast nad maas olidki. Teenused võivad olla kohati kättesaamatud, see üles-alla hüppamine ning massiline mahavõtmine ja üleslaadimine on seotud käiva uuendamisprotsessiga. Haavatavused ise ei põhjustanud seda, et kuritahtlik tegevus oleks lehed maha kiskunud," rääkis Kupper.

Veebilehekülgi suleti kolmapäeval ajutiselt üle kogu maailma. Lätis oli isegi rahvusringhäälingu LSM portaal maas.

Eestis esines tõrkeid näiteks rahvusarhiivi töös ning neljapäeval teatas haridusministeerium, et peatab ajutiselt õppekeskkonna Moodle töö.

Samas oli Eestis võrreldes muu maailmaga tõrkeid pigem vähe.

"Eesti on väike, info liigub kiiresti ja leevendusmeetmeid rakendati koheselt. See aga ei tähenda, et Eesti täiesti puutumatuks jäi. Ka Eesti mastaabis on väga palju neid, kes on otseselt või kaudselt seotud PHP ja selle haavatavusega. Neid mahaminemisi ja teenuse mittekättesaadavusi on ka Eestis olnud, aga meil on lihtsalt selles suhtes vedanud, et meie fookus ei ole olnud nii kriitilistel teenustel," ütles Kupper.

Eelhoiatusi ning haavatavustele viitavaid analüüse ja uurimusi hakkas laekuma juba augustist, ütles Kupper. 

"Sealt edasi on kuni käesoleva hetkeni olnud igasuguseid arutelusid, vihjeid ja kahtlusi. See realiseerus nüüd täielikult sellega, et lasti välja turvapaik (tarkvaraparandus, mis likvideerib turvaaugu – toim). See turvapaik reetis kohe ära, et olemas on laiaulatuslik turvaauk. See oligi üks põhjus, miks ei tahetud turvaaugu olemasolu väga kiiresti avalikustada – see on väga massiline ja paiga tegemine võttis aega," rääkis Kupper.

OpenAI, mille tehnoloogia toel üks viga leiti, nimetas avastust lähimineviku üheks kõige ulatuslikuma mõjuga turvaprobleemiks. Teise haavatavuse leidis sõltumatult turvaettevõte Wiz.

Küberturbeekspert nentis, et erinevate AI ja muude tööriistade toel on tänapäeval väga lihtne ära kasutada ka raskelt leitavaid turvaauke. "Koodianalüüsi ja AI keelemudelite kasutamise tõttu suureneb kindlasti vanemates seadmetes erineva tasemega turvaaukude leidmine. See on kindel. Ka nende kuritahtlik leidmine suureneb," sõnas ta.

Kupper tõi näiteks häkkerite rünnaku Prantsusmaa kaupluskettide vastu, kus pahalased muutsid külmkappide temperatuure.

"Sealne haavatavus oli aastaid teada ja lahti, kuniks keegi selle leidis ja ära kasutas. See tähendab, et kõik tarkvaraarendajad, teenuse tarbijad ja muud tehnilise tasandi inimesed peaksid regulaarselt võimestama oma koodianalüüsi keelemudelite abil. Initsiatiivi ei saa anda ainult vastasmeeskonna õuele," ütles Kupper.

Inimesed kasutavad nüüdseks massiliselt pilveteenuseid, alates näiteks perepiltidest kuni tundlike tööandmete talletamiseni. Küberturbeeksperdi sõnul pole see turvaline.

"Ma lõhuksin kohe ära müüdi, nagu pilv ja turvalisus oleksid omavahel võrdelises seoses – see on algusest peale olnud kellegi teise arvuti kellegi teise reeglitega. Pilv on rohkem mugavuse kui turvalisuse küsimus. Inimlikust perspektiivist saan ma täiesti aru, aga lihtne sõnum on see, et kellegi teise arvutis ei hoiaks ma oma kriitilisi ja elutähtsaid asju ei ametialaselt ega eraeluliselt," sõnas Kupper.

Lõpetuseks ütles Kupper, et paanitsemiseks põhjust ei ole.

"Tegemist ei ole kriisiga," sõnas ta. "See ongi meie uus tavapärane olukord – sellised asjad juhtuvad ja need tuleb lihtsalt ära lahendada. Väga hea on see, et kõik teenusepakkujad on reageerinud. Tavakasutaja võib-olla näeb, et teenusele ligi ei pääse, kõik on maas ja valitseb täielik kaos, aga tegelikult inimesed ja teenusepakkujad reageerivad ning uuendavad."