Fl-aħħar xahrejn, mexxejna koalizzjoni ta’ manutenturi, riċerkaturi u fornituri tas-sigurtà biex nindirizzaw vulnerabbiltajiet kritiċi f’PHP, lingwa ta’ programmazzjoni b’sors miftuħ li tintuża biex jitħaddmu siti u applikazzjonijiet tal-web. Calif identifikat difett kritiku permezz ta’ GPT‑5.6 Sol bħala parti mill-inizjattiva tagħna Patch the Planet(jinfetaħ f’tieqa ġdida). Wiz ukoll skopriet u rrappurtat iż-żewġ vulnerabbiltajiet b’mod indipendenti. Il-manutenturi ta’ PHP mexxew il-korrezzjonijiet u r-rilaxx, filwaqt li t-timijiet tagħna u sħab bħal Wiz, Cloudflare u oħrajn ikkontribwew riċerka, appoġġ tekniku u koordinazzjoni biex jitħejjew miżuri ta’ protezzjoni qabel l-iżvelar.
Għall-organizzazzjonijiet li jużaw PHP, il-prijorità issa hi li japplikaw il-korrezzjonijiet. Qed naqsmu għodda għall-verifika tal-verżjoni ta’ PHP bħala ħila ta’ Codex(jinfetaħ f’tieqa ġdida) biex ngħinu lill-operaturi jidentifikaw verżjonijiet ta’ PHP potenzjalment vulnerabbli u, flimkien mal-gwida ta’ PHP u tal-fornituri tagħhom, jiddeterminaw liema aġġornamenti japplikaw.
Minħabba l-gravità ta’ dawn id-difetti u l-użu mifrux ta’ PHP, inqisu din bħala waħda mill-kwistjonijiet ta’ sigurtà bl-akbar impatt f’dawn l-aħħar snin. Dan juri kif l-IA tista’ tikxef difetti fis-sigurtà b’impatt fuq skala tal-internet, iżda l-istess kapaċitajiet jistgħu wkoll jgħinu lill-attakkanti jiżviluppaw malajr għodod offensivi u mezzi biex jisfruttaw il-vulnerabbiltajiet.
Sa fejn nafu, l-aktar IA avvanzata sabet dawn il-vulnerabbiltajiet qabel l-attakkanti, u fetħet Tieqa ta’ Opportunità għad-Difensuri biex il-manutenturi u l-fornituri tas-sigurtà jħejju korrezzjonijiet u miżuri ta’ protezzjoni qabel l-iżvelar.
Biex ngħinu aktar difensuri jużaw dawn il-kapaċitajiet, impenjajna biljun dollaru f’aċċess sussidjat għal Daybreak permezz ta’ Daybreak for Frontline Defenders, iffukat fuq organizzazzjonijiet b’riżorsi limitati għas-sigurtà li jipproteġu servizzi essenzjali.
Għalkemm serji, dawn id-difetti huma fost diversi vulnerabbiltajiet sinifikanti li diġà sibna u qed naħdmu biex insewwu. Nistennew żieda qawwija f’sejbiet simili fix-xhur li ġejjin. Abbażi tal-esperjenza tagħna s’issa, qed naqsmu approċċ propost, adatt għall-era tal-IA, għar-rispons għal vulnerabbiltajiet kritiċi f’softwer użat ħafna. Qed nitolbu lill-komunità tas-sigurtà tgħinna ntejbu dan il-qafas. Dan jgħaqqad il-mudelli tagħna, l-għarfien espert fis-sigurtà u l-manutenturi biex is-sejbiet jissarrfu fi protezzjoni u jinbena rispons li jista’ jespandi mal-avvanzi fil-kapaċitajiet tal-IA.
Biex korrezzjoni tibda tintuża, jista’ jkun hemm bżonn li tiġi adattata għal verżjonijiet eqdem, jitħejjew miżuri ta’ mitigazzjoni mill-fornituri u jiġu aġġornati sistemi f’ħafna organizzazzjonijiet. Proċess li jista’ jiġi ripetut jgħin lil dawn it-timijiet jaġixxu malajr hekk kif jinstabu aktar vulnerabbiltajiet.
Permezz ta’ Patch the Planet, ikkontribwejna għarfien espert fis-sigurtà u aċċess għall-mudelli biex nappoġġaw ir-rispons ta’ PHP, u ħdimna mal-manutenturi u s-sħab fir-riċerka biex nittestjaw il-korrezzjonijiet u nħejju gwida. Għenna wkoll fil-koordinazzjoni mal-fornituri tal-infrastruttura dwar il-protezzjoni tas-sistemi affettwati u involvejna aġenziji governattivi taċ-ċibersigurtà biex il-gwida tasal għand organizzazzjonijiet kritiċi. Dan appoġġa r-rispons immexxi mill-manutenturi u għen lil difensuri oħra jitħejjew.
Għal ċerti sejbiet, ir-riċerkaturi jistgħu jaħdmu direttament mal-manutenturi tas-softwer biex jinvestigaw il-problema u jiżviluppaw korrezzjoni. Oħrajn jeħtieġu rispons usa’ għax jaffettwaw ħafna prodotti jew għax id-distributuri u l-fornituri tas-servizzi jeħtieġu ż-żmien biex iħejju aġġornamenti u miżuri ta’ protezzjoni. Dan iż-żmien jista’ jkun limitat jekk l-aktar kapaċitajiet avvanzati ma jkunux wisq ’il quddiem minn dawk disponibbli b’mod wiesa’. F’dawn il-każijiet, il-qafas propost jista’ jgħin lill-manutenturi jidentifikaw min għandu jkun involut u jikkoordinaw ix-xogħol. Ir-rispons jista’ jinvolvi ħames stadji:
Ivvalida u sewwi l-vulnerabbiltà fis-softwer oriġinali. Il-manutentur, ir-riċerkaturi u s-sħab tekniċi essenzjali jikkonfermaw is-sejba, jivvalutaw l-impatt tagħha u jiżviluppaw u jittestjaw korrezzjoni. Dan il-proċess jinkludi ttestjar minn perspettiva ta’ attakkant bl-aktar mudelli avvanzati biex jinstabu modi kif tinqabeż il-korrezzjoni u varjanti relatati tal-vulnerabbiltà.
Agħti żmien lill-organizzazzjonijiet affettwati biex jaġixxu. Nipproponu qafas biex jitqies liema organizzazzjonijiet jeħtieġu informazzjoni minn qabel biex iħejju miżuri ta’ protezzjoni, filwaqt li l-manutenturi jiddeċiedu lil min jinvolvu. Ngħinu fil-kuntatt mal-partijiet, fil-ftehimiet dwar il-kondiviżjoni tal-informazzjoni u fil-koordinazzjoni bejn it-timijiet. Distributur jista’ jadatta korrezzjoni għal verżjoni eqdem, fornitur tal-hosting jista’ jittestja miżura ta’ mitigazzjoni, u fornitur tas-sigurtà jista’ jħejji miżuri ta’ detezzjoni jew prevenzjoni, inklużi regoli tal-firewall tal-applikazzjonijiet tal-web (WAF).
Ikkordina mas-sħab governattivi biex tgħin tipproteġi s-sistemi kritiċi. L-aġenziji governattivi għandhom rwol essenzjali fil-koordinazzjoni ta’ rispons usa’ u biex il-gwida dwar is-sigurtà tasal għand l-organizzazzjonijiet responsabbli għall-infrastruttura kritika u servizzi essenzjali oħra. Fil-każ ta’ PHP, ħdimna mas-sħab tagħna biex ninvolvu diversi entitajiet tal-gvern Amerikan, fosthom is-Super Intelligence Force tal-White House, l-Uffiċċju tad-Direttur Nazzjonali għaċ-Ċibersigurtà (ONCD), l-Aġenzija għaċ-Ċibersigurtà u s-Sigurtà tal-Infrastruttura (CISA), kif ukoll sħab internazzjonali biex nappoġġaw dan l-isforz.
Ħejji aġġornamenti għall-prodotti affettwati. Hekk kif il-korrezzjoni, il-gwida u l-pjanijiet tal-iżvelar jistabbilizzaw ruħhom, il-manutenturi jistgħu jinvolvu aktar distributuri, fornituri tal-hosting u tas-servizzi, timijiet ta’ rispons u operaturi biex iħejju aġġornamenti u jindirizzaw lakuni fil-kopertura.
Ladarba tkun disponibbli korrezzjoni, ippubblika gwida u appoġġa l-implimentazzjoni. Il-gwida pubblika tgħin lin-nies jivvalutaw l-esponiment tagħhom, isibu aġġornamenti minn sorsi awtorevoli jew miżuri temporanji ta’ mitigazzjoni, u jivverifikaw li l-korrezzjoni qed taħdem. Ir-rispons ikompli hekk kif l-operaturi jimplimentaw l-aġġornamenti u jirrappurtaw fejn jeħtieġu l-għajnuna.
Il-qafas propost iqis ir-rwol protettiv ta’ organizzazzjoni, inkluża l-protezzjoni tas-sistemi u l-klijenti tagħha, iż-żmien meħtieġ biex taġixxi, u l-kapaċità tagħha li timmaniġġja informazzjoni sensittiva. L-istess kriterji japplikaw għal organizzazzjonijiet komparabbli, filwaqt li l-manutenturi jiddeċiedu lil min jinvolvu qabel l-iżvelar.
Kull parteċipant jirċievi l-informazzjoni meħtieġa għall-ħidma protettiva tiegħu, minn reġistri tan-network b’indikaturi ta’ kompromess sa kodiċi aktar sensittiv li juri fil-prattika kif tista’ tiġi sfruttata vulnerabbiltà. Anki dettalji limitati jistgħu jikxfu vulnerabbiltà, għalhekk niżnu r-riskju li naqsmuhom kontra l-protezzjoni li jagħmlu possibbli.
It-timijiet li jsegwu dan il-qafas jaħdmu mal-manutenturi biex jagħtu żmien lid-difensuri jitħejjew u jirrevedu l-iskeda jekk ikun hemm sfruttament attiv f’sistemi reali, tnixxija ta’ informazzjoni, korrezzjoni pubblika li tikxef il-vulnerabbiltà, jew riskju akbar għall-utenti minħabba rimedjazzjoni mwaqqfa.
Is-sit ta’ Patch the Planet(jinfetaħ f’tieqa ġdida) jiġbor żvelar pubbliku u gwida biex jgħin lill-operaturi jidentifikaw sistemi affettwati, isibu l-aġġornament it-tajjeb u jivverifikaw li s-softwer aġġornat qed jaħdem sew. Għal PHP, jirreferi għall-korrezzjoni uffiċjali u l-istruzzjonijiet tal-manutenturi dwar l-aġġornament, kif ukoll għar-riċerka teknika tas-sħab tagħna. Il-gwida tkopri wkoll miżuri temporanji ta’ mitigazzjoni, meta għandu jiġi involut fornitur jew espert, u l-backup u l-irkupru. Il-protezzjoni temporanja tista’ tnaqqas ir-riskju, iżda se niċċaraw il-limiti tagħha u l-kompromessi operazzjonali li tinvolvi.
L-operaturi jistgħu jużaw il-gwida tas-CISA dwar il-prijoritizzazzjoni u r-rimedjazzjoni(jinfetaħ f’tieqa ġdida) biex jivvalutaw kemm għandhom jaġixxu malajr abbażi tal-esponiment, l-isfruttament u l-impatt potenzjali. Dan jista’ jfisser korrezzjonijiet ta’ emerġenza, mitigazzjoni immedjata jew aġġornament ippjanat, flimkien ma’ valutazzjoni forensika inizjali fejn ikun meħtieġ biex jiġi stabbilit jekk is-sistemi diġà ġewx kompromessi. Il-prijoritajiet għandhom jiġu riveduti hekk kif jinbidlu l-kundizzjonijiet, b’per kors ċar lejn rimedjazzjoni dejjiema.
Il-koordinazzjoni globali tiddependi min-nies li jieħdu ħsieb il-manutenzjoni tas-softwer. Ħafna proġetti jitmexxew minn timijiet żgħar li jeżaminaw rapporti ta’ sigurtà flimkien max-xogħol ta’ żvilupp ta’ kuljum. Dawn it-timijiet jeħtieġu għajnuna biex jiddistingwu problemi ġodda minn rapporti duplikati, jivvalutaw l-impatt u jittestjaw il-korrezzjonijiet fil-verżjonijiet appoġġati. Nappoġġaw din il-ħidma b’finanzjament, aċċess għal mudelli kapaċi u għajnuna prattika fl-inġinerija.
Kapaċitajiet qawwija tal-IA qed javvanzaw fl-industrija kollha, u nistennew li l-IA jkollha rwol dejjem akbar biex tgħin lid-difensuri jsibu vulnerabbiltajiet, jimmonitorjaw is-sistemi u jirrispondu għat-theddid. Qed ninvestu f’mudelli, għodod u sħubijiet biex ngħinu lid-difensuri jużaw dawn il-kapaċitajiet fil-prattika.
L-investimenti tagħna jinkludu abbonamenti għall-manutenturi kollha permezz ta’ Codex for OSS u sponsorizzazzjoni diretta ta’ proġetti bħar-Rust Foundation(jinfetaħ f’tieqa ġdida) għall-manutenturi u l-ħidma teknika. Kull proġett jistabbilixxi l-prijoritajiet tiegħu stess. Testijiet u flussi tax-xogħol tas-sigurtà li jistgħu jerġgħu jintużaw jistgħu jnaqqsu l-isforz meħtieġ biex jiġu indirizzati sejbiet futuri. Proġetti b’sors miftuħ jistgħu japplikaw għal Patch the Planet(jinfetaħ f’tieqa ġdida) biex jiksbu appoġġ prattiku.
Qed nikkalibraw ukoll klassifikaturi addizzjonali għall-imblukkar f’Daybreak biex innaqqsu l-potenzjal ta’ użu ħażin. Dan jinvolvi kompromessi diffiċli: salvagwardji maħsuba biex jipprevjenu l-abbuż jistgħu wkoll jimblukkaw ħidma leġittima fis-sigurtà. Kemm l-aċċess wiesa’ għal mudelli kapaċi kif ukoll il-protezzjoni effettiva kontra l-użu ħażin huma kruċjali. L-għan tagħna hu li nżommu l-kapaċitajiet li d-difensuri jeħtieġu biex isibu u jsewwu l-vulnerabbiltajiet, filwaqt li nillimitaw l-użu dannuż. Se nkomplu nirfinaw dan il-bilanċ hekk kif javvanzaw il-kapaċitajiet u nitgħallmu mill-mod kif jintużaw dawn l-għodod.
Hekk kif il-mudelli jsiru aktar kapaċi, l-opportunità tmur lil hinn mis-sejba u t-tiswija ta’ vulnerabbiltajiet individwali. Irridu ngħinu lill-inġiniera jibnu softwer aktar sigur mill-bidu nett. Titjib f’komponent użat ħafna jista’ jipprevjeni difetti jew jillimita l-impatt tagħhom f’ħafna prodotti u servizzi.
L-IA tista’ tgħin lill-inġiniera jifhmu l-kodiċi eżistenti, iħejju bidliet u jiżviluppaw testijiet, filwaqt li l-manutenturi u l-esperti tas-sigurtà jivverifikaw li dawn il-bidliet iżommu l-funzjonament li l-utenti jiddependu fuqu. Naraw opportunitajiet f’diversi oqsma:
Kodiċi sigur mill-bidu nett. Il-mudelli għall-programmazzjoni jistgħu jgħinu lill-iżviluppaturi jagħżlu settings prestabbiliti aktar siguri, jużaw il-libreriji tas-sigurtà sew u jidentifikaw xejriet riskjużi waqt li jiktbu l-kodiċi. Il-prevenzjoni tal-vulnerabbiltajiet waqt l-iżvilupp tfisser inqas korrezzjonijiet ta’ emerġenza għall-manutenturi u l-utenti.
Softwer b’użu sigur tal-memorja. Il-migrazzjoni ta’ komponenti kritiċi għal lingwi b’użu sigur tal-memorja tista’ telimina kategoriji komuni ta’ żbalji fil-memorja. L-IA tista’ tgħin fil-migrazzjonijiet, flimkien ma’ testijiet u rieżami minn esperti biex jiġu vverifikati l-funzjonament u l-kompatibbiltà.
Verifika formali. Provi matematiċi jistgħu juru li komponenti kritiċi jissodisfaw proprjetajiet speċifikati ta’ sigurtà taħt suppożizzjonijiet iddikjarati. L-applikazzjoni ta’ dawn il-metodi għal komponenti użati ħafna tista’ tgħin teskludi kategoriji ta’ vulnerabbiltajiet fis-servizzi u l-infrastruttura kritika li jiddependu minnhom.
Iżolament aktar b’saħħtu. Is-sistemi jeħtieġu protezzjoni kontra vulnerabbiltajiet li għadhom ma nstabux jew ma ssewwewx. It-tħaddim ta’ softwer li jipproċessa fajls, stampi jew midja mhux fdati f’ambjenti iżolati b’restrizzjonijiet stretti jista’ jillimita l-ħsara jekk is-softwer jiġi kompromess. L-IA tista’ tgħin lill-inġiniera jittestjaw u jsaħħu teknoloġiji ta’ iżolament użati ħafna, u b’hekk titjieb il-protezzjoni f’ħafna applikazzjonijiet.
Qed naqsmu l-approċċ tagħna biex il-manutenturi, ir-riċerkaturi, it-timijiet ta’ rispons, il-fornituri u l-operaturi jgħinu biex ikun fattibbli fil-prattika. Irridu nifhmu fejn jista’ jgħin, fejn jista’ jżid dewmien jew piż, u x’ma qisniex. Eżempji minn żvelar preċedenti jkunu partikolarment utli.
Jinteressawna b’mod partikolari:
Il-perjodi qabel l-iżvelar. Kemm jeħtieġu żmien il-manutenturi, l-operaturi u d-difensuri biex iħejju u jimplimentaw korrezzjonijiet affidabbli? Liema evidenza għandha twassal għal żvelar aktar bikri, speċjalment meta xi utenti jistgħu jiġu protetti qabel oħrajn?
Korrezzjonijiet ta’ emerġenza. Meta, jekk qatt, għandhom il-gvernijiet jew operaturi oħra jużaw vulnerabbiltà biex jikkoreġu sistemi li huma tagħhom jew li huma awtorizzati jimmaniġġjaw, wara li jitilfu l-aċċess amministrattiv? Liema salvagwardji għandhom japplikaw? Nistgħu nimmaġinaw xenarju eventwali ta’ skennjar kontinwu mal-internet kollu għal vulnerabbiltajiet magħrufa, fejn meta tinstab waħda, jew jiġu avżati s-sidien tas-sit jew tiġi kkoreġuta s-sistema.
Avviż minn qabel. Min jeħtieġ twissija minn qabel biex jieħu azzjoni protettiva utli, inklużi difensuri li forsi ma nkunux qisna? Meta jaħdmu aħjar in-notifiki fi stadji milli n-notifika ta’ grupp usa’ f’daqqa, u kif għandna niżnu l-kopertura kontra r-riskju ta’ tnixxija tal-informazzjoni?
Pakketti tas-softwer siguri b’mod prestabbilit. Kif nistgħu ngħinu biex jinstabu u jissewwew vulnerabbiltajiet f’pakketti derivati waqt li l-korrezzjonijiet fis-softwer oriġinali jkunu għadhom pendenti, jew nadattaw korrezzjonijiet għal verżjonijiet eqdem li m’għadhomx jirċievu aġġornamenti tas-sigurtà? Liema ttestjar u manutenzjoni jagħmlu dawn il-pakketti għażliet affidabbli meta aġġornament fil-ħin ma jkunx fattibbli?
Nilqgħu wkoll rakkomandazzjonijiet ta’ esperti indipendenti tas-sigurtà li jistgħu jirrevedu l-approċċ, jikkontestaw is-suppożizzjonijiet tiegħu u jidentifikaw lakuni. Il-kontribut tagħkom se jgħinna nirfinaw ir-rispons u nistabbilixxu l-prijoritajiet tal-appoġġ. Aqsmu l-kummenti tagħkom hawn(jinfetaħ f’tieqa ġdida).
