உலகத்தையே உலுக்கிய 'பிஎச்பி2ஷெல்' பிரச்சனை என்ன? ஏன் இவ்வளவு இணையதளங்கள் முடங்கின?

 

உலகளாவிய இணையதளங்களை முடக்கிய 'PHP2Shell' என்றால் என்ன? - விரிவான செய்தி

Anagha Jayakumar

கடந்த புதன்கிழமை (அக்டோபர் 21) உலகம் முழுவதும் திடீர்னு ஒரு பெரிய பரபரப்பு ஏற்பட்டுச்சு. ஜப்பான் நிதி அமைச்சகம், அமெரிக்காவின் பேம்புஎச்ஆர் (BambooHR), நெதர்லாந்தின் ரோட்டர்டாம் துறைமுகம், மற்றும் விக்கிப்பீடியாவை நடத்தும் விக்கிமீடியா ஃபவுண்டேஷன் உள்ளிட்ட பல முக்கிய நிறுவனங்களின் இணையதள சேவைகள் திடீர்னு முடங்கிப் போச்சு.

இன்டர்நெட் உலகத்துல ரொம்ப முக்கியமான 'பிஎச்பி' (PHP) புரோகிராமிங் லாங்குவேஜில் ரெண்டு பெரிய பாதுகாப்புப் பிரச்சனைகள்  கண்டுபிடிக்கப்பட்டதால்தான், முன்னெச்சரிக்கை நடவடிக்கையாக இந்த முடக்கம் நடந்துச்சு. இந்தத் தொழில்நுட்பக் கோளாறுக்கு 'பிஎச்பி2ஷெல்' (PHP2Shell) அப்படின்னு பெயர் வச்சிருக்காங்க.

பிஎச்பி-னா என்ன? அது ஏன் இவ்வளவு இடங்கள்ல பயன்படுது?

PHP (Hypertext Preprocessor) என்பது இணையதளங்களின் பின்னணியில் அமைதியாக வேலை செய்யுற ஒரு ஒபன் சொர்ஸ் புரொகிராமிங் லாங்குவேஜ். 

ஆன்லைனில் லாகின் பண்றது, அப்ளிகேஷன் போடுறது, அல்லது ஆன்லைன்ல ஷாப்பிங் பண்றதுனு எல்லா வேலைகளையும் பின்னணியில இருந்து பாக்குறது இந்த பி.எச்.பி. தான். சர்வர் மொழி அடையாளம் காணக்கூடிய வெப்சைட்டுகளில் சுமார் 70% இதுலதான் ஓடுது.

இது முழுக்க முழுக்க இலவசமானது; தன்னார்வலர்களால் பராமரிக்கப்பட்டு வருது.

உலகத்துல இருக்குற வெப்சைட்டுகளில் 40%-க்கும் மேல இயங்குற 'வேர்ட்பிரஸ்' (WordPress) கூட இந்த பிஎச்பி-ஐ வச்சுத்தான் உருவாக்கப்பட்டுள்ளது. இதில் பிளாக்குகள், அரசுத் தளங்கள், செய்தி தளங்கள் எல்லாமே அடங்கும்.

இந்த 'பிஎச்பி2ஷெல்' என்பது என்ன? என்னதான் பிரச்சனை?

பிஎச்.பி கோடுகளில் (Code) பல ஆண்டுகளாக இருந்த இரண்டு தீவிரமான ஓட்டைகளைத்தான் ஒட்டுமொத்தமா 'பிஎச்பி2ஷெல்' அப்படின்னு சொல்றாங்க. அது என்னென்ன பிரச்சனைன்னா:

நினைவகம் தீர்ந்துபோகும் போது (Memory Out):

இப்போ நீங்க ஒரு ஜாப் போர்ட்டல்ல உங்க பயோ டேடாவை அப்லோட் பண்றீங்கன்னு வச்சுப்போம். அப்போ தேவையான மெமரி இல்லாம பிஎச்பி நடுவுல தடைபட்டுப் போச்சுன்னா, அந்த பாதியளவு தகவலையே சரியானதுன்னு அது தப்பா நம்பிடும். இதான் ஹேக்கர்களுக்குச் சாதகமா மாறிடும்.

பழைய டேட்டா மிச்சம் நிக்கிறது (Leftover Info):

முதல் நபர் ஒரு வெப்சைட்டை யூஸ் பண்ணிட்டுப் போன பிறகு, கம்ப்யூட்டர் மெமரியில இருந்து டேட்டா அழிஞ்சாலும் கூட பிஎச்பி. அதைத் தன் நினைவகத்துல வச்சிருக்கும். அடுத்ததா வர்ற இரண்டாவது ஆளுக்கு அந்தப் பழைய டேட்டாவையே தப்பா யூஸ் பண்ணிடும். ஹேக்கர்கள் இந்தத் குழப்பத்தைத் திட்டமிட்டுப் பயன்படுத்தி சர்வரைக் கைக்குள் கொண்டு வருவாங்க.

இது ஏன் ரொம்ப ஆபத்தானது?

ஹேக்கர்களுக்கு இந்த வெப்சைட்டில் எந்த அக்கவுண்டும் இருக்கணும்னு அவசியமே இல்லை; நேரில் போய்க் கூட சர்வரைத் தொடத் தேவையில்லை. இன்டர்நெட் மூலமாகவே ஒரு சின்ன தீங்கிழைக்கும் கோரிக்கையை அனுப்பி, சர்வரையே அவங்க கண்ட்ரோல் கொண்டு வர முடியும்.

இதனால பயனர்களின் பாஸ்வேர்ட், தனிப்பட்ட தகவல்கள், அப்லோட் செய்யப்பட்ட ஆவணங்கள் எல்லாம் பெரும் ஆபத்தில் சிக்கிக்கொள்ளும். குறிப்பா, செயற்கை நுண்ணறிவு( AI) கருவிகள் மூலமா ஆராய்ச்சியாளர்கள் இதைக் கண்டுபிடிச்சது போலவே, ஹேக்கர்களும் இன்னும் வேகமா தாக்குதல்களை நடத்த இது வழிவகுத்துடும்னு பாதுகாப்பு நிபுணர்கள் எச்சரிக்கிறாங்க.

இணையதளங்கள் ஏன் தற்காலிகமாக ஆஃப்லைன் செய்யப்பட்டன?

ஹேக்கர்கள் இந்த ஓட்டையைப் பயன்படுத்தி வெப்சைட்டுகளைக் கைப்பற்ற வாய்ப்பு இருக்கிறதால, பாதுகாப்பு முகமைகள் உடனடியாக வெப்சைட் ஓனர்ஸுக்கு ஒரு வார்னிங் கொடுத்தாங்க. "உடனே சிஸ்டத்தை அப்டேட் பண்ணுங்க, அப்படி முடியலன்னா முன்னெச்சரிக்கையா வெப்சைட்டை தற்காலிகமாக ஆஃப் பண்ணிடுங்க" அப்படின்னு சொன்னாங்க.

ஜப்பான் பிரதமர் சனே தகைச்சி உள்ளிட்ட பல தலைவர்கள் வெப்சைட்டுகளை உடனடியாகப் பாதுகாக்க வலியுறுத்தினார்கள்.

ஐரோப்பிய ஒன்றியத்தின் சைபர் பாதுகாப்பு அமைப்பு (CERT-EU) மற்றும் இந்தியாவின் சைபர் பாதுகாப்பு (CERT-In) அமைப்பும் அவசர எச்சரிக்கைகளை விடுத்தன.

இந்தச் சமயத்தில் பிஎச்பி டெவலப்பர்கள் உடனடியாக பாதுகாப்புக்கான அப்டேட்களை வெளியிட்டுவிட்டனர். பல சிறிய வெப்சைட்டுகளை நடத்துகிறவர்கள் தங்கள் சர்வர் விவரங்களைச் சரியா நிர்வகிக்கத் திணறினாலும், இந்த அப்டேட்டை உடனே இன்ஸ்டால் செய்யுமாறு கேட்டுக்கொள்ளப்பட்டுள்ளனர்.

source https://tamil.indianexpress.com/explained/php-security-flaw-website-shutdowns-worldwide-php-programming-language-12739080