El fallo de PHP que asustó a medio mundo

تحدثنا عن هذا بالأمس،
لكنني لم أتابعه
كثيرًا؛ فبعد أن أنهيت
البث رأيت الفوضى التي
عمت نصف الإنترنت،
ربما رآها الكثير منكم
، لكنني تمكنت من
الاطلاع عليها
بتفاصيل أكثر مما كان
عليه الحال بالأمس.
نعم، بالأمس تحديدًا
سقط نصف الإنترنت،
وهذه المرة لم يكن
الخطأ خطأ "تي بي إيه".
هذه من الأمور التي
تجعلني سعيدًا لأنني
لم أعد أعمل في مجال
البرمجة، لأن هذا كان
ليكون "كود أحمر"
بالمعنى الحرفي، وكان
ليكون تجربة مكثفة
وصعبة لأي شخص يعمل في
هذا المجال وعليه
صيانة الخوادم. كان
ليكون دراميًا بعض
الشيء، لنكن صادقين.
حسناً، كنت أنظر في
الأمر، وله جوانب
متعددة، هل تفهمون؟
لقد حدث ذلك لأنكم
ربما علمتم بوجود
ثغرات أمنية في لغة PHP.
حيث توقف نصف العالم
عن العمل، وقاموا بفصل
العديد من المواقع
مؤقتًا، ولهذا كان نصف
الإنترنت معطلاً. شمل
ذلك المواقع الحكومية
، والمنتديات،
والمتاجر، و Pokémon Home،
و Final Fantasy 14، و 4 chan،
وموقع Rule 34، كل ذلك
بسبب ذلك الخطأ في PHP.
أعني، لقد كان أمرًا
جللاً. هل هذا مفهوم؟
ما هي لغة PHP؟ هي لغة
بُني بها معظم
الإنترنت، أو بالأحرى
الويب، على الأقل في
جيلي. لا أريد أن أبدو
كبيرًا في السن. أعلم
أن هذا يبدو كلام كبار
السن. أن أقول "في جيلي"
، لكن في جيلي بالفعل،
كانت الغالبية العظمى
من صفحات الويب مصممة
بلغة PHP. كانت اللغة
المهيمنة، رغم كثرة
منتقدي PHP، وهم
موجودون بالفعل. لقد
كانوا موجودين دائمًا
، حتى في جيلي، أعلم أن
هناك الكثير من
الكارهين لـ PHP الآن،
لكنهم كانوا موجودين
في جيلي أيضًا. معظم
المنتديات، ووردبريس،
ومعظم المواقع
الإخبارية والصحف
وغيرها كانت مصنوعة
بلغة PHP. سبعة من كل
عشرة مواقع، وهذا ليس
بالأمر الهين. أنت
تبرمج بـ PHP وتضع "if"،
هل تعرفون الـ "if"؟
أنتم تحبون الـ "if"
كثيرًا، أليس كذلك؟
إذا وضعت "if"، فهذا مثل
قول: إذا كانت 1 + 1
تساوي 2، اطبع 3. عندما
تدخل إلى صفحة الويب،
أنت لا ترى ذلك، بل ترى
الرقم ثلاثة فقط
وانتهى الأمر. لقد
شرحت للتو معنى "if".
الأبقار تساوي تساوي
اثنين. الطباعة، ألم
تكن "echo" في PHP؟ كانت "echo
"، أليس كذلك؟ "Echo".
الأبقار، وسوف تظهر لك
رقم اثنين، هل فهمتم؟
عندما تدخل إلى الصفحة
، تظهر لك النتيجة
اثنين، لا تظهر لك الـ
"if" وكل ذلك الكود.
لماذا؟ لأنها لغة من
جانب الخادم. لقد شرحت
هذا بشكل عام ومبسط
للغاية. ثم هناك ذاكرة
التخزين المؤقت، أي
أنه لا يتم معالجة كل
شيء في كل مرة تدخل
فيها إلى صفحة، ولا
يتم طهيها بالكامل، بل
توجد ذاكرة مؤقتة،
وهناك أجزاء يمكن
تخزينها مؤقتاً لتجنب
إعادة حسابها في كل
مرة يدخل فيها شخص ما،
وذلك لتقليل استهلاك
الموارد. لكن على أية
حال، هذا لا يهمكم،
حسناً؟ لقد وجدوا
ثغرتين من العيار
الثقيل، ثغرتين
كبيرتين جداً، يا
للهول! لقد اطلعت
عليهما بشكل سريع. لن
أدخل في الكثير من
التفاصيل لأنني أعتقد
أنكم لا تهتمون، ولكن
لمن يهمه الأمر، فقد
ألقيت نظرة عليهما
هكذا. ما تفعله هذه
الثغرات هو أنه إذا
تسببت في نفاد ذاكرة
لغة PHP في لحظة معينة،
تماماً عندما توشك
الذاكرة على النفاد،
فإنها تترك أشياء نصف
مكتملة، وعندما تعود
مرة أخرى تجدها وتستمر
في العمل وتقول "تابع"
وتبتلع كل شيء. هذا
يسمح بتنفيذ تعليمات
برمجية عن بعد. الأمر
أشبه بطاهٍ، حسناً؟
إذا تمكنت من إطفاء
الضوء قبل أن يضع
الطعام في الطبق أو
أثناء قيامه بذلك،
فبينما هو يضع الطعام
وتطفئ أنت الضوء،
يمكنك فعل ما تشاء
بالطبق، وعندما تشعل
الضوء سيقول: "سأنهيه
فوراً وأقدمه لك"،
وحينها يمكنك فعل أي
شيء تريده. حسناً، هذا
كان مستوى الخلل، شرحت
ذلك قليلاً، فهذه
الثغرات كانت خطيرة
جداً، كانت ضخمة. أي
أنها لا يمكن أن تؤثر
فقط على صفحة ويب
محددة، بل تؤثر على
الخوادم مباشرة.
تستضيف الخوادم
العديد من مواقع الويب
ويمكن أن تؤثر، كما
قلت، ليس فقط على موقع
واحد، بل على خادم
كامل يستضيف ربما
المئات أو الآلاف من
المواقع، حسناً؟ صرح
رئيس الأمن السيبراني
السابق في UCA بأنها
أخطر ثغرة تم اكتشافها
في السنوات الخمس
الماضية. كانت هناك
ثغرات كثيرة، هذه لم
تصل لمستوى 10، بل بلغت
9.7 في النهاية، وقد
كانت هناك ثغرات
بمستوى 10، حسناً؟ لكن
مع ذلك، الطبيعي عند
ظهور خلل واكتشاف ثغرة
بهذه الخطورة، هو ألا
تكترث للأمر. الطبيعي
هو صدور التحديث
وتثبيته. على سبيل
المثال، المتصفحات.
لقد كانت هناك ثغرات
خطيرة في متصفح جوجل
كروم، لنعطِ مثالاً
على المتصفحات. في
المبدأ، أنت لا تلاحظ
شيئاً عادة، فقط تدخل
وتفتح كروم فيكون قد
تم تحديثه تلقائياً،
ويتم ترقيع تلك الثغرة
قبل أن يتم استغلالها.
حسناً، عادة ما تسير
الأمور هكذا في
الإنترنت أو ويندوز،
لا أعلم، ثغرة أمنية
خطيرة. يتم تحديث
ويندوز تلقائياً دون
أن تشعر، وهكذا يتم سد
الثغرة، ولم تتأثر
لأنك قمت بتصحيحها قبل
استغلالها. ما الذي
تغيره هذه الثغرة؟
لماذا تغير كل شيء؟
لماذا يغير هذا كل شيء
؟ لنرى. كان هناك واشٍ
لعين. ببساطة، كان
هناك شخص علم بالأمر
وبدلاً من التزام
الصمت، قام بإفشائه.
لذا، كان هناك يوم
واحد عُرف فيه أنه
سيتم إصدار تصحيح
لثغرة أمنية خطيرة
جداً. وأن التصحيح لم
يكن قد تم إعداده أو
نشره بعد. لذا، كان ذلك
اليوم يوماً ساد فيه
الذعر، ببساطة. حسناً،
فيما يخص الألعاب، إذا
رأيتم ألعاباً متوقفة
، حسناً؟ بوكيمون هوم،
حيث يتم حفظ
البوكيمونات، وُضعت
في صيانة طارئة،
وبوكيمون تشامبيونز،
وبوكيمون سليب، كل هذا
دخل في وضع الصيانة. في
كثير من الأحيان لا
يكون السبب أن اللعبة
مبرمجة بـ PHP، فمن
الواضح أن بوكيمون
تشامبيونز وبوكيمون
سليب ليستا كذلك،
لكنهما تتصلان بخادم
قد يكون مبرمجاً بـ PHP،
حسناً؟ هذا هو السبب
وراء رؤيتكم للعديد من
الألعاب عبر الإنترنت
التي دخلت في وضع
الصيانة. على سبيل
المثال، شركة "سي جيمز"
(Cygames)، لا أعرف كيف
تُنطق جيداً، وضعت "
أوما موسومي" أيضاً في
الصيانة. ذهبت "أوما
موسومي" للصيانة، و "
جران بلو فانتسي"
للصيانة، و "شادو فيرس"
للصيانة، كل هذه دخلت
في الصيانة. نفس الشيء
، ليس لأن اللعبة
مبرمجة بـ PHP، الألعاب
لا تُبرمج بـ PHP، ولكن
الخوادم تحتوي على
واجهة برمجة تطبيقات (
API) أو نظام تصنيف أو
معلومات تتصل بخادم PHP.
لذا، لنفس الأسباب
الأمنية، تم وضعها في
وضع الصيانة. لعبة "
فاينل فانتسي 14" أيضاً
أغلقت خوادمها. فاينل
فانتسي 14، لأنهم قالوا
إن خادم التحديثات، أي
أن هناك خوادم توجد
عليها التحديثات
والملفات التصحيحية.
كان ذلك يعتمد على PHP،
ولم يستطع أحد تسجيل
الدخول لأنه لم يكن
بالإمكان التحقق من
التحديثات أثناء
الصيانة، فلم يكن
ممكناً معرفة ما إذا
كان هناك تحديث جديد،
لذا وُضعت في صيانة في
هولندا. سحبوا موقع
الحكومة، وأزالوا
بوابة المواطن وموقع "
ديجت"(Digd)، وهو النظام
الأساسي للتعريف
بهوية الإسبان. حسناً،
تم وضع كل هذا تحت
الصيانة. في المملكة
المتحدة، فصلوا جميع
الخوادم، عفواً، ليس
جميعها، بل 32 خدمة
حكومية. وفي كندا،
موقع مركز الأمن
السيبراني الكندي،
وهو أمر مثير للسخرية
نوعاً ما، أليس كذلك؟
همم. ومعهد الإحصاء
أيضاً. تحول موقع "
فورتشان"(4chan) إلى وضع
القراءة فقط، دون
القدرة على الكتابة.
هذا هو التخزين المؤقت
(Caching) الذي أتحدث عنه،
هل تفهمون؟ ما قلته هو:
بدلاً من معالجة
البيانات في كل مرة
تدخل فيها إلى موقع
ليعطيك النتيجة، فأنت
تعالجها مرة واحدة،
وتحفظها، ولا تضطر
لمعالجتها مجدداً، بل
تعرضها للجميع بمجرد
معالجتها لمرة واحدة،
حسناً؟ هذا هو المفهوم
الأساسي لذاكرة
التخزين المؤقت. كما
تعطل موقع "رول 34"(Rule 34)
أيضاً، وأفهم أن هذا
هو المكان الذي انتبه
فيه معظمكم وقلتم: "يا
إلهي، ماذا حدث؟" لا بد
أن شيئاً ما قد وقع،
حتى أن "رول 34" تعطل هو
الآخر. لغة "بي إتش بي"(
PHP)، حسناً؟ وهذا الأمر
أصابني بالذهول. في
اليابان، كتبت
الوزيرة سناء
تاكايتشي على حسابها
في تويتر قبل العاشرة
ليلاً بقليل هذا
المنشور. هل ترون هذا؟
لقد كان التغريدة
الأكثر مشاهدة في
تاريخ الأمن
السيبراني. التغريدة
اللعينة حصلت على 90
مليون مشاهدة. حسناً،
سأترجمها لكم لأنكم
بالطبع لا تتابعون
اليابان، لذا ليس
لديكم أدنى فكرة.
سأقوم بترجمتها لكم.
طلب عاجل أرجو منكم
الاستجابة له. تحققوا
مما إذا كان موقعكم
يستخدم "بي إتش بي"(PHP)
واستعدوا لتطبيق رقعة
برمجية ستصدر في
الساعة الحادية عشرة.
إذا لم تتمكنوا من ذلك
، يرجى إيقاف الموقع
في الوقت المناسب
لأنها وسيلة لتقليل
المخاطر. على ما يبدو،
التفسير هو أن الوزيرة
تاكايتشي تفهم في
الأمن وتفهم في
البرمجة. في الواقع،
هي لا تكتفي بالفهم
فحسب، بل نشرت كتاباً
عن الأمن السيبراني
بعنوان "احمِ حياتك من
الهجمات السيبرانية"،
وكانت دار النشر هي
معهد "بي إتش بي"، يا له
من عالم صغير. إذن، كيف
وصل الأمر إلى أن تضطر
الوزيرة للخروج
والطلب من الجميع توخي
الحذر إذا كانوا
يستخدمون موقعاً بـ "
بي إتش بي"؟ عندما يكون
هناك ثغرة خطيرة كهذه،
فعادة ما تكون مصحوبة
بحظر نشر. عندما يكتشف
شخص ما ثغرة، إذا كان
من "هاكينيتيك"، وهم
بالطبع الأكثر
اكتشافاً لهذه
الثغرات، فإنه يقوم
بإبلاغ الجهة
المتضررة، في هذه
الحالة "PHP"، ويخبر
المسؤولين عنها بشكل
خاص. تقوم "PHP" بمراجعة
الثغرة وإعداد تصحيح
لها بشكل سري لإصلاحها
. يتم تمرير هذا
التصحيح إلى الموزعين
الذين يستخدمون "PHP".
هؤلاء هم من يمتلكون
الخوادم، أو بالأحرى،
هم من يمتلكون سلسلة
التوزيع. أي أن
الخوادم تستخدم عادةً
أنظمة معينة، سأضرب لك
مثالاً بشركة "Hostinger".
تستخدم "Hostinger" نظاماً
عبارة عن سلسلة تصل
إليها لتنزيل تصحيح "PHP
"، كأنهم مثبتات
للبرامج، لكنهم في
الواقع موزّعون،
حسناً؟ يتم تمرير
التصحيح لهم، وبعد ذلك
يتم الاتفاق على يوم
وساعة محددين، وفي ذلك
اليوم يتم النشر دفعة
واحدة، ويتم إصدار
التصحيح ثم شرح الثغرة
. المهاجمون، كقاعدة
عامة، لا يكتشفون
الأمر إلا بعد أن يتم
تصحيحه، مثلما يحدث في
ألعاب الفيديو عندما
تحصل الصحافة على
اللعبة قبل موعدها،
يكون هناك تاريخ حظر
للنشر ولا تُنشر
التقييمات إلا بعده،
حيث ينشرها الجميع في
وقت واحد، حسناً؟ لا
أحد يعرف أي شيء حتى
ذلك اليوم. حسناً، كان
تاريخ الحظر هذا
محدداً في 22 أكتوبر،
أي اليوم في تمام
الساعة الثانية بعد
الظهر. ما الذي حدث؟
جاء يوم الثلاثاء 20،
قبل يومين، وكتب
مستخدم على "Hacker News"،
وهو منتدى معروف
للمبرمجين، حسناً؟
ونشر رسالة تفيد بأن
هناك ثغرتين في "PHP"
بدرجة خطورة 10 من 10 في
الطريق. قال: "لا
يمكنني إثبات أي شيء
لكم، فقط أقول لكم،
ليس لدي أدلة، المصدر
هو ثق بي يا أخي". ثق بي
يا أخي. حسناً، وهذا
أثار الذعر. بشكل
أساسي، هناك بدأ الذعر
. اعترف هو نفسه لاحقاً
بأن هذا كان خطأه، وأن
كل هذه الفوضى
والتعجيل بإصدار
التصحيح كان بسببه،
لأنه كان عليه أن يصمت.
كيف كان يعلم؟ كان
لديه مصدر. هذا كل ما
في الأمر. من يدري من
أي جزء، هل من سلسلة
التوريد، أم من الشخص
الذي قام بالتسريب.
هناك شخص ما أخبر هذا
الشخص، وهذا الشخص قام
بالتعليق على الأمر.
المهم، بعد ساعات
قليلة، نشرت شركة
أمنية معروفة تُدعى "
Watch" رسالة تقول: "لنرى،
من المفترض أن ننتظر
حتى الخميس ولكن تم
تسريب الأمر". وقام
بنشره وقال: "نؤكد أنه
حقيقي، لدينا علم بهذا
الأمر، لكنه تسرب".
وهنا، حسناً، كما أقول
، انتشر الذعر، حسناً؟
قدمت منظمة PHP التحذير
، ونقلت موعد التحديث
من الخميس إلى
الأربعاء، ولم تطلقه
في حينه لأن توزيعات
لينكس كانت لا تزال
تقوم بتعبئته، وإذا
أطلقته مبكراً،
فالمشكلة هي أن
الأغلبية لن تجد طريقة
سهلة لتثبيته، أتعلم؟
لأنه ليس شيئاً تقول
فيه: "هيا، ها هو ذا،
حمله، ضعه في جهازك،
حمل ملف تنفيذي وثبته"
، الأمر لا يسير هكذا،
حسناً؟ ماذا يحدث لو
أطلقت التحديث مبكراً
وقلت: "دبروا أموركم"؟
أنت تجعل المهاجمين
أيضاً قادرين على رؤية
التحديث والقول: "
حسناً، ماذا يصلح هذا
بالضبط؟""همم، حسناً،
أنت تفعل هذا، أتعلم؟"
تفكيك التحديث
لمحاولة اكتشاف
الثغرة قبل أن يتمكن
الناس من تطبيقه.
ولهذا السبب انتشر
الذعر، حسناً؟ تظهر
شركة Chineward. Chineward هي
شركة تبيع خدمات أمان
سلاسل توريد
البرمجيات. ما قلته
لكم سابقاً، حسناً؟
موزع الموزع، حسناً؟
إنهم أحد المسؤولين عن
ضمان الأمان لسلسلة
توريد البرمجيات هذه.
بما أن الجميع تلقوا
التحديث قبل موعد
الحظر لكي ينشره
الجميع في نفس الوقت.
ماذا فعل هؤلاء
الأغبياء قبل موعد
الحظر؟ قبل 6 ساعات
تحديداً، قاموا بنشره
لعملائهم. قاموا بخرق
الحظر. ما قلته لكم
سابقاً. الآن، يمكن
لأي مهاجم أن يأخذ هذا
التحديث اللعين،
ويفتحه، ويفككه،
ويقول: "حسناً، ماذا
يصلح بالضبط؟" قبل 6
ساعات من حصول بقية
العالم على التحديث.
لماذا فعلوا ذلك؟ ظهر
الرئيس التنفيذي،
حسناً؟ ويقول: "لقد
فعلنا ذلك لأننا نشهد
هجمات بالفعل، وأردنا
نشره قبل أي شيء لأن
أولويتنا هي عملاؤنا،
وأنهم كانوا قد وجدوا
الثغرة بأنفسهم". كيف؟
بالذكاء الاصطناعي؟
حسناً. يعني، كأنهم
وجدوا الثغرة بالفعل،
وبما أنهم استخدموا
الذكاء الاصطناعي
للعثور عليها، فقد
قرروا إطلاقه. أقول: "
هل أنتم أغبياء يا رجل
؟" قرأت أحدهم يقول،
إنه الشخص النمطي في
نهاية العالم الزومبي
الذي يقول: "يا إلهي،
انظروا، يمكن رؤية
الزومبي من خلال هذا
الثقب في الجدار".
مرحباً أيها الزومبي.
إنه هذا يا رجل. لكننا
لم ننتهِ، لم ننتهِ
بعد. تحب أمازون نصب
الفخاخ، أتعلم؟ أفترض
أنكم تعرفون، أو ربما
سمعتم، لكن أمازون
مثلاً تضع لموزعيها
طروداً لا صاحب لها،
طروداً تقول عنها: "أوه
، هذه لا تخص أحداً".
لقد ظهرت هنا، لكنهم
يراقبونها. يضعونها لك
، وإذا لم يقم الموزع
بتسليم الطرد، أو لم
يعده إلى أمازون، ولم
يبلغ أو يقل شيئاً؛
فهذا الطرد ليس له سجل
، ولا يبدو عليه شيء،
لكنهم يراقبونه. وإذا
لم يعده، يعتبرون
الموزع لصاً صغيراً
ويطردونه أو يوبخونه،
أتعلم؟ إنهم يضعون
فخاخاً صغيرة، أتعلم؟
يفعلون هذا أيضاً على
الإنترنت، لديهم
خوادم هي خوادم طُعم
يضعونها على الإنترنت
لكي يتم الهجوم عليها.
غالباً ما تكون لديهم
ثغرات عن قصد، لكنهم
يتركونها هناك لكي
يهاجمها المهاجمون،
فيرون من يهاجم، ومن
أين، ويحددون عنوان IP
الخاص بالمهاجم
لاستخراج معلومات.
حسناً، هذا شيء تمتلكه
أمازون. اتضح أنه في 17
أكتوبر، قبل أربعة
أيام من التصحيح
وثلاثة أيام من "Truce Me
Bro"، أتعلم؟ قام أحدهم
بهجوم ضد أحد خوادم
الاختبار التابعة
لأمازون باستخدام تلك
الثغرة. قالت أمازون
إنها لا تملك فكرة
واضحة عن كيفية حصولهم
على تلك المعلومات،
لكن المعروف هو أن PHP
كانت لديها معلومات عن
هذه الثغرة منذ أغسطس
على الأقل. إذن، هناك
شخص ما على الأقل حاول
استخدامها من قبل. لذا
إنه أمر، أتعلم؟ إنه
موضوع يتعلق بحدوث
مشكلة تسريب ما، لا
أعرف ماذا حدث بالضبط.
شخص ما أفشى السر قبل
أوانه وانتهى الأمر.
ما أعتقده هو وجود
واشٍ ما، شخص ما تسرع
في كلامه. هذا جاء
بالطبع نتيجة التقدم
في مسألة اكتشاف
العديد من الأخطاء
وغيرها، وشخص ما قد زل
لسانه. وقد تسبب هذا في
جعل نصف الإنترنت يصاب
بالذعر. أولاً، لأنهم
أفشوا الأمر قبل أوانه
، ثم مرة أخرى زل لسان
شخص آخر، لأن المشكلة
في النهاية هي أنه لم
يكن معروفاً ماهية
الثغرة الموجودة. لكن
كانت هناك بالفعل
مؤشرات، لأنه إذا جاءك
شخص وقال: "هناك ثغرتان
من المستوى العاشر في
كذا"، وذكر PHP، فهو
يحرض الآخرين
باستخدام الذكاء
الاصطناعي على البحث
عن تلك الثغرات أيضاً.
بمجرد إعطاء تلميحات
مثل: "حسناً، يجب أن
نذهب إلى PHP، يجب أن
نذهب إلى...دعونا نبحث"
، يصبح الأمر معقداً،
أتعلم؟ يمكن
للمهاجمين البدء في
البحث عنها، وهذا ما
أثار الذعر ودفع
الكثيرين لإغلاق
خوادمهم أو إيقافها
مؤقتاً. مشكلة كل هذا،
وعواقب ذلك. هناك
خوادم مهجورة نوعاً ما
، وهي غير نشطة
وتستخدم إصدارات
قديمة من PHP. لقد ماتت
خوادم كثيرة، وماتت
ألعاب كثيرة، وماتت
منتديات كثيرة. PHP لها
إصدارات، حسناً؟
تخيلها مثل ويندوز،
فكذلك PHP، رغم أنها لغة
برمجة، لها إصدارات
أيضاً. وهناك PHP 5، الذي
كان الأكثر استخداماً
لفترة طويلة. ثم عملوا
على PHP 6، وبدا أنه كان
قطعة من القمامة. كان
سيئاً للغاية وقالوا: "
سنتجاوز الإصدار
السادس". يشبه الأمر
ويندوز، حيث تجاوزوا
الإصدار التاسع، ربما
قالوا: "هذا سيء جداً
ولا يمكن استخدامه"،
فتجاوزوا PHP 6. ثم جاء PHP
7 وهناك إصدارات فرعية
، أي هناك 5.5، و 5.6...
الإصدار 5.6، على سبيل
المثال، كان شائعاً
جداً، لأن الإصدار
السادس لم يكتمل، فبقي
الكثيرون على 5.6. بقي
الإصدار 5.6 لسنوات
عديدة، حسناً؟ ثم جاء
الإصدار 7، ثم جاء 7.4 ثم
8 ثم 8.1، وهكذا دواليك.
حسناً، المشكلة هي أن
PHP 8.1 وما قبله لم تعد
تحظى بدعم رسمي، ولدى
PHP قاعدة تنص على أن
الإصدارات التي لا
تملك دعماً رسمياً لا
تحصل على تصحيحات
برمجية. لقد استثنوا
الإصدارات 7.4 و 8.0 و 8.1.
لقد قاموا باستثناء
لأنها حالة خطيرة جداً
لثغرة أمنية كبيرة،
ولكن هذا يشمل فقط 7.4 و
8.0 و 8.1. ما قبل ذلك لا
يوجد دعم، ولا توجد
تصحيحات. إذاً، ماذا
حدث؟ هناك العديد من
المنتديات التي لا
تعمل والتي لا تزال
عالقة لأن تغيير إصدار
PHP أمر معقد، وهناك
العديد من المنتديات
وغيرها التي ظلت على
إصدار قديم. هناك
العديد من الأنظمة
التي ظلت عالقة في
إصدار قديم، وهناك
ألعاب، وهي تلك
الألعاب التي كانت
تُلعب عبر المتصفح،
بقيت في إصدار قديم
لأن الترقية لم تكن
مجدية لهم، كان الأمر
مجرد إبقائها متاحة
مجاناً من باب الحنين.
وقد أغلقوا، أغلقوا
العديد من الألعاب.
لعبة "ورلد كويست"(World
Quest) على سبيل المثال،
التي كانت لعبة للسفر
والتجول حول العالم،
كما أخبرتكم، هي ألعاب
متصفح. وكانت لعبة
صدرت عام 2011، للهواتف
والحواسيب، أغلقت عام
2019 لأنها لم تعد مربحة
، لكن في عام 2020 مع
كوفيد أعادوا فتحها
قائلين: بما أنها لعبة
سفر حول العالم، فلنعد
فتحها. بما أن الجميع
محبوسون في منازلهم،
فليتسلوا بها على
الأقل. كانت تعمل
أساساً بنظام قديم
جداً، وقالوا: "لا
يمكننا حمايتها كما
يجب بعد الآن". ليس
لدينا القدرة ولا
الوقت ولا الرغبة،
ولماذا نخدع أنفسنا،
لنقلها إلى إصدار أحدث
. لذلك قاموا بإغلاقها.
هناك منتديات ستغلق
وأخرى لن تغلق. هناك
العديد من المنتديات
والأنظمة والخوادم
الأخرى التي ستبقى
قديمة لفترة طويلة
وستكون ضحية لهذا
لأنهم سيعرفون الثغرة
وما عليك سوى البحث عن
الإصدارات المحددة.
أرى الأمر أشبه قليلاً
بـ "مشكلة عام 2000". لم
يحدث شيء جلل كما حدث
مع مشكلة عام 2000. لم
تكن هناك خسائر نهائية
نندم عليها، لا شيء
كبير جداً حسب علمنا،
لكن نعم كان هناك ذعر
وستكون هناك عواقب
للبرمجيات غير
المحدثة، البرمجيات
القديمة جداً، التي
سينتهي بها الأمر إلى
الموت. كما حدث مع
مشكلة عام 2000. لا أعلم
لأنني لم أرَ شيئاً،
لكن ربما تصدر PHP
إصداراً كذلك للإصدار
7.3 وما قبله. حتى الآن
لم يعلنوا عن ذلك
وقاعدتهم هي عدم نشر
أي شيء للإصدارات التي
لا تحظى بدعم. لقد
استثنوا، كما قلت، هذه
الإصدارات، لكن ما
قبلها لا. ربما يقررون
فعل ذلك بسبب الحالة
الاستثنائية القائمة،
لكن في الوقت الحالي
لم يقولوا شيئاً أو لم
أعثر على شيء. إذاً هذا
هو الموضوع. أعرف أن
معظمكم لا يبالي
بالأمر. الكثيرون منكم
سيقولون: "حسناً يا سوك
، لا أعلم". كان هذا،
كان هناك نصف الإنترنت
متعطلاً ولم أكن أعرف
السبب. الآن تعرف
السبب. هذا كل شيء. هذا
ملخص سريع للموضوع. Ontem a gente falou sobre isso, mas eu
nem vi tanto, porque terminei a live e
vi a confusão que tinham armado na
metade da internet; muitos devem ter
visto, mas hoje pude analisar com mais
detalhes do que ontem. E sim, ontem
especialmente metade da internet caiu e
desta vez a culpa não foi da TBA. São
essas coisas que me fazem ficar feliz
por não trabalhar mais com
programação, porque isso teria sido
um código vermelho clássico e teria
sido, hum, um pouco intenso viver isso
sendo alguém que trabalha com isso e
precisa manter servidores. Teria sido
um drama, não vamos nos enganar. Certo
, eu estava olhando, tem camadas, tá?
Foi porque, vocês devem ter ficado
sabendo, mas houve umas
vulnerabilidades no PHP onde metade do
mundo paralisou e temporariamente
desconectaram muitos sites, e por isso
metade da internet estava fora do ar.
Houve sites do governo, fóruns, lojas,
Pokémon Home, Final Fantasy 14, 4chan,
a Rule 34, tudo por causa da [ __ ] da
falha no PHP. Ou seja, foi um assunto
sério. Tá? O que é PHP? É uma
linguagem com a qual a maior parte da
internet, ou melhor, da web, foi feita,
pelo menos na minha época. Eu não
quero parecer velho. Eu sei que soa
como coisa de velho. Dizer "na minha
época", mas pelo menos na minha época
, a grande maioria dos sites eram
feitos em PHP. Era a linguagem
dominante, apesar de muitos haters do
PHP que existem, e existem mesmo.
Sempre existiram, até na minha época,
eu sei que hoje tem muitos haters de
PHP, mas na minha época também tinha.
A maioria dos fóruns, WordPress, a
maioria dos sites de notícias, jornais
e afins eram feitos em PHP. Sete de
cada 10 sites, quase nada. Você
programa em PHP e coloca "if", que
vocês sabem, "if", vocês gostam muito
de "if", né? Se você coloca "if", que
é como dizer: se 1 + 1 é igual a 2,
coloque 3. Quando você entra no site,
você não vê isso, você vê "três"
e pronto. Acabei de explicar o "if".
vacas igual igual a dois "print", não
era "echo" no PHP, era "echo", não?
Echo vacas, e ele vai colocar "dois",
tá? Quando você entra na página,
aparece "dois", não aparece o "if" e
tudo isso. Por quê? Porque é uma
linguagem de servidor. Expliquei isso
de forma bem superficial. Depois tem o
cache, ou seja, nem sempre tudo é
feito cada vez que alguém entra em uma
página, não se cozinha 100%, existe o
cache, partes que podem ser cacheadas
para não ter que calcular toda vez que
uma pessoa entra, para consumir menos.
Mas enfim, tanto faz para vocês, tá?
Encontraram duas falhas das grandes,
duas falhas gordinhas, pesadas, hein?
Eu dei uma olhada por cima. Também
não vou entrar em muitos detalhes
porque acho que vocês não ligam, mas
enfim, para quem se interessar, eu
andei olhando assim. Essas falhas fazem
o seguinte: se você provocar o PHP
para que a memória acabe em um certo
momento, bem quando a memória tem que
acabar, ele deixa coisas pela metade e
depois, quando volta, ele as encontra,
continua, manda ver e engole tudo. Isso
permite a execução de código remoto.
É como se fosse um cozinheiro, tá? Se
você conseguir apagar a luz bem antes
de ele empratar ou enquanto está
empratando, você apaga a luz, você
pode fazer o que quiser no prato, que
quando você acender a luz ele vai
dizer: "Rapidinho, termino e te entrego
", e aí você pode fazer o que quiser.
Certo, esse era o nível da falha,
expliquei assim um pouco como essas
vulnerabilidades eram muito graves,
eram muito pesadas. Ou seja, pode
afetar não só um site específico,
mas afeta servidores diretamente. Ah,
os servidores hospedam muitos sites e
podem afetar, como eu disse, não só
um site, mas um servidor inteiro que
hospeda talvez centenas ou milhares de
sites, tá? Quem foi o chefe de
cibersegurança da UCA disse que é a
vulnerabilidade mais grave descoberta
nos últimos 5 anos. Houve muitas, essa
não foi nível 10, foi no final 9,7,
já houve de nível 10, tá? Mas bom,
ainda assim, o normal quando sai uma
falha, se detecta uma vulnerabilidade
tão grave, o normal é que você não
ligue. O normal é que saia o patch, se
atualize. Eh, por exemplo, os
navegadores. Houve vulnerabilidades
graves no Google Chrome, para dar um
exemplo de navegadores. A princípio,
você normalmente nem percebe,
simplesmente entra, abriu o Chrome e
ele já se atualizou automaticamente,
essa vulnerabilidade foi corrigida
antes de ter sido explorada. Certo,
normalmente a internet funciona assim,
ou o Windows, sei lá, uma
vulnerabilidade grave. O Windows
atualiza, você nem percebe, pronto,
já está corrigido, você nem notou e
não foi afetado, porque antes de
usarem a vulnerabilidade, ela foi
corrigida. O que muda com essa
vulnerabilidade? Por que isso muda tudo
? Por que isso muda tudo? Vamos ver.
Teve um maldito dedo-duro. Basicamente,
teve um cara que ficou sabendo disso e,
em vez de ficar quieto, ele contou.
Então, teve um dia, teve um dia em que
se soube que ia ter uma vulne...que ia
ser publicado um patch para uma
vulnerabilidade muito grave. e que o
patch ainda não tinha sido feito ou
não tinha sido publicado. Então, esse
dia foi de pânico total, basicamente.
Certo, o que nos toca, os joguinhos, se
vocês viram jogos fora do ar, sabe?
Pokémon Home, onde guardam os Pokémon
, foi colocado em manutenção de
emergência, Pokémon Champions,
Pokémon Sleep, tudo isso entrou em
modo de manutenção. Muitas vezes não
é porque o jogo é feito em PHP,
obviamente Pokémon Champions não é
feito em PHP, Pokémon Sleep não é
feito em PHP, mas eles têm conexão
com um servidor que talvez sim, seja
feito em PHP, sabe? É por isso que
talvez vocês tenham visto muitos jogos
online, obviamente, entrando em
manutenção. Por exemplo, Ca Games ou
C Games, não sei como se pronuncia
direito, também colocou o Umamusume.
Umamusume entrou em manutenção,
Granblue Fantasy entrou em manutenção
, Shadowverse entrou em manutenção,
todos esses entraram em manutenção. A
mesma coisa, não é porque o jogo é
feito em PHP, não se faz jogo em PHP,
mas os servidores têm alguma API,
algum tipo de ranking, algum tipo de
informação que se conecta com algum
servidor PHP. Então, pela mesma
segurança, eles se mantêm, foram
colocados em modo de manutenção.
Final Fantasy 14 também desligou os
servidores. Final Fantasy 14, porque
disseram que o servidor de patches, ou
seja, há uns servidores onde ficam os
patches com as atualizações. Isso
estava em PHP e ninguém conseguia
fazer login porque não dava para
verificar, como a parte dos patches
estava em manutenção, não dava para
ver se havia um patch novo, então foi
colocado em manutenção nos Países
Baixos. tiraram o site do governo do ar
, removeram a pasta do cidadão e o
site da DGT, que na Espanha, para os
espanhóis, é a Clave, o sistema Clave
que eles têm. Pois bem, tudo isso foi
colocado em manutenção. No Reino
Unido, desconectaram todos os
servidores, bom, perdão, todos não,
32 serviços do governo. No Canadá, o
site do centro canadense de
cibersegurança, o que é um pouco
irônico, sabe? Hm. O Instituto de
Estatística também. O 4chan entrou em
modo de leitura, também sem poder
escrever. Isso seria fazer o cache do
que estou comentando com vocês, ok? O
lance de você ter, o que eu disse: que
cada vez que você entra em um site ele
cozinha para te devolver qualquer coisa
, então você cozinha uma vez, ele te
devolve isso e você guarda, e não
precisa continuar cozinhando, mas sim,
uma única vez, e você mostra para
todo mundo, entende? Isso seria o que
é o cache. Também caiu o Rule 34, que
imagino que foi aí que a maioria de
vocês prestou atenção e disse: "
Caramba, o que aconteceu?" Algo deve
ter acontecido, já que o Rule 34
também caiu. PHP, beleza? E isso me
deixou maluco. No Japão, a
primeira-ministra Sanae Takaichi
escreveu em sua conta no Twitter um
pouco antes das 10 da noite, ela
escreveu isto. Vocês estão vendo isso
? Quer dizer, foi o tweet com mais
visualizações da história da
segurança da informação. Tem 90
milhões de visualizações essa [ __ ]
de tweet. Beleza, vou traduzir para
vocês porque obviamente vocês não
veem o Japão, então não fazem a
menor ideia. Vou traduzir para vocês.
Pedido urgente que peço que atendam.
Verifiquem se o seu site usa PHP e
preparem-se para aplicar um patch que
sairá às 11. Se não puderem, por
favor, parem-no a tempo, porque é uma
forma de reduzir o risco. Pelo visto, a
explicação é que Takaichi, a
ministra, entende de segurança,
entende de programação. De fato, não
só entende, como publicou um livro
sobre cibersegurança chamado Proteja
sua vida dos ciberataques e a editora
foi o Instituto PHP; o mundo é um ovo.
Eh, como se chega ao ponto da
primeira-ministra ter que vir a
público pedir por favor: cuidado se
você tem um site em PHP? Quando há
uma falha tão grave assim, normalmente
ela vem com um embargo. Quem descobre a
falha, quando é a Hackinetic,
obviamente que são a maioria que
descobrem essas falhas e se publicam
obviamente pela Hackinetic, quando
descobre uma falha avisa ao afetado,
neste caso ao PHP, aos responsáveis
pelo PHP e avisa em privado. O PHP
revisa e prepara um patch em privado
para corrigi-lo. Passa para os
distribuidores que têm o PHP. Estes
são os que têm os servidores ou, mais
que os servidores, os que têm a cadeia
. Ou seja, os servidores normalmente
usam uns sistemas, eh, digamos
Hostinger, para te dar um exemplo. A
Hostinger usa um sistema que é uma
cadeia de onde chega para baixar o
patch do PHP, como instaladores, por
assim dizer, mas sim, são como
distribuidores realmente, tá? Pois
então passam para eles e depois disso
combinam um dia e uma hora e nesse dia
todos de uma vez publicam o fato,
publica-se o patch e depois explica-se
a vulnerabilidade. Os atacantes, por
norma geral, ficam sabendo quando já
está corrigido, como quando em
videogame é como quando a imprensa tem
o jogo antes do tempo, tem uma data de
embargo e até essa data de embargo
não se publicam as notas e publicam
todos de uma vez, tá? Ninguém fica
sabendo até esse dia que a nota tem.
Certo, pois bem, este embargo estava
fixado para 22 de outubro, ou seja,
hoje às 2 da tarde. O que acontece?
Chega terça-feira, dia 20, dois dias
antes, um usuário no Hacker News, que
é um fórum de programadores muito
conhecido, tá? E publica uma mensagem
dizendo que há duas falhas de PHP com
nota 10 de 10 a caminho. Diz: "Não
posso provar nada a vocês, só posso
dizer, não tenho provas, a fonte
confia em mim, irmão". Confia em mim,
irmão. Certo, e isso provocou o
pânico. Basicamente ali entrou o
pânico. Ele mesmo depois reconheceu
que isso foi culpa sua, que todas essas
confusões e a antecipação do patch
foram culpa sua porque, eh, ele tinha
que, porque deveria ter ficado de boca
fechada. Como ele sabia? Tinha um
contato. Já está. Vai saber de que
parte, se da cadeia de suprimentos, se
é de quem vazou. Há alguém porque
contou a esse cara e esse cara, pois
comentou. Total, poucas horas depois
houve uma empresa de segurança
conhecida, Watch, que publicou uma
mensagem que dizia: "Veja, supõe-se
que temos que esperar até quinta-feira
e vazou". "E ele colocou e disse:"
Confirmamos que é real, temos
conhecimento disto, mas vazou "." E aí
, bom, como eu disse, pânico geral,
entendeu? A organização PHP antecipa
o aviso, passa o patch de quinta para
quarta-feira; não lançou na hora
porque as distribuições Linux ainda
estavam empacotando e, se lançasse
antes do tempo, o problema é que a
maioria não teria como instalar
facilmente, sabe? Como não é algo do
tipo: "Vem cá, toma aqui, baixa,
coloca aí, baixa um .exe, instala",
não funciona assim, entendeu? "O que
acontece se você lança o patch antes
da hora e diz:" Que se virem "?" Você
também faz com que os atacantes possam
ver o patch e dizer: "Ok, o que
exatamente isto corrige?" Hm, ok, você
está fazendo isso, sabe? Destrinchar o
patch para tentar encontrar a
vulnerabilidade antes que as pessoas o
tenham aplicado. Por isso foi esse
pânico todo, entendeu? Aí aparece a
Chineward. A Chineward é uma empresa
que vende segurança para a cadeia de
suprimentos de software. O que eu disse
para vocês, entendeu? O distribuidor
do distribuidor, entendeu? Pois eles
são um dos encarregados de garantir a
segurança para essa cadeia de
suprimentos de software. Como todo
mundo tinha recebido o patch antes da
data de embargo, para que todos
publicassem ao mesmo tempo. O que esses
idiotas fazem antes da data de embargo?
6 horas antes, especificamente, eles
pegam e publicam para os clientes deles
. Eles pegam e quebram o embargo. O que
eu disse a vocês antes. Agora,
qualquer atacante pode pegar esse
maldito patch, abrir, destrinchar e
dizer: "Ok, exatamente o que isso
corrige", 6 horas antes de o resto do
mundo ter a atualização instalada. "
Por que eles fizeram isso? O CEO
apareceu, entendeu? e diz:" Fizemos
isso porque já estamos vendo ataques e
quisemos publicar antes de tudo porque
nossa prioridade são nossos clientes e
eles, além disso, já tinham
encontrado a falha por conta própria "
. Como, com IA?" Okay. Ou seja, como se
eles realmente já tivessem encontrado
a falha e, como usaram a IA para
encontrar a falha, pronto, eles lançam
. Eu digo: "Vocês são bobos, cara?"
Li um dizer, aquele típico cara em um
apocalipse zumbi que diz: "Caramba,
olhem, dá para ver os zumbis por esse
buraco na parede". Olá, zumbis. É
esse, cara. Mas não terminamos, ainda
não terminamos. A Amazon gosta de
armar umas ciladas, sabe? Suponho que
vocês saibam, deve soar familiar, mas
a Amazon, por exemplo, coloca nos
entregadores pacotes que não têm
nenhum dono, pacotes que você olha e
pensa: "Ué, isso não é de ninguém".
Apareceu aqui, mas eles estão vigiando
. Eles colocam lá e, se o entregador
não entregar o pacote, ou seja, não
devolver para a Amazon, não avisar,
não disser nada, porque esse pacote
não tem registro nenhum, não parece
ser de nada, eles estão vigiando. Se
ele não devolver, eles registram que o
entregador é um ladrãozinho e o
demitem ou dão uma advertência,
entendeu? É como se eles fossem
colocando armadilhas, sabe? Eles
também fazem isso na internet, têm
servidores que são servidores isca e
os deixam pela rede para que os ataquem
. Muitas vezes eles têm
vulnerabilidades de propósito, deixam
lá para serem atacados, para ver quem
ataca, de onde, localizar o IP do
atacante e conseguir obter
informações. Beleza, isso é algo que
a Amazon faz. Acontece que no dia 17 de
outubro, 4 dias antes do patch e três
antes do "Truce Me Bro", sabe? Alguém
fez um ataque contra um desses
servidores de teste da Amazon com essa
vulnerabilidade. A Amazon disse que
não tem muita ideia de como
conseguiram essa informação, mas o
que se sabe é que o PHP tinha
informações dessa vulnerabilidade,
pelo menos desde agosto. Então, existe
alguém que pelo menos tentou usá-la
antes. Então hmm é um caso, sabe? É
um caso onde houve algum problema de
delação, ou sei lá o que aconteceu.
Alguém falou demais antes da hora e
pronto. O que eu acho é que tem algum
dedo-duro, tem alguém que se empolgou
e falou o que não devia. Isso
obviamente veio em decorrência dos
avanços com o tema, de que muitos
erros foram descobertos e tal, e
alguém acabou abrindo o bico. Isso
provocou, bom, que metade da internet
entrasse em pânico. Primeiro, porque
abriram o bico antes da hora e, depois,
outra vez alguém falou antes da hora,
porque no fim o problema é que não se
sabia a vulnerabilidade que existia.
Mas havia pistas, porque se chega um
cara e diz: "Tem uma, duas
vulnerabilidades de nível 10, não sei
o quê", já fala PHP, já está
incitando outras pessoas com IA a
buscarem essas vulnerabilidades. Já
com pistas do tipo: "Beleza, temos que
ir ao PHP, temos que ir a...vamos
buscar", e aí fica complicado, sabe?
Quem ataca pode começar a procurar e
isso provocou pânico, fazendo com que
muita gente fechasse ou pausasse
temporariamente os servidores. O
problema de tudo isso, as
consequências disso. Há servidores
que estão um pouco perdidos por aí,
que estão inativos e que têm versões
antigas de PHP. Muitos servidores
morreram, muitos jogos morreram e
muitos fóruns morreram. PHP tem
versões, entende? Imaginem como o
Windows, pois o PHP, mesmo sendo uma
linguagem de programação, também tem
versões. E tem o PHP 5, que foi
durante muito tempo o mais usado.
Depois eles estiveram fazendo o PHP6,
pelo visto foi uma porcaria. Foi uma
porcaria e disseram: "Vamos pular o
seis". Um pouco como o Windows, que
pulou o nove, pois disseram: "Isso é
uma porcaria, não tem por onde pegar",
e pularam o PHP6. Depois veio o PHP7 e
depois existem versões dentro dele, ou
seja, tem a 5.5, a 5.6...A 5.6, por
exemplo, é bem popular, bem mainstream
, porque justamente como o seis não
chegou a se materializar, muitos
ficaram na 5.6. A 5.6 durou muitos anos
, entende? Depois veio a 7, depois veio
a 7.4, a 8, a 8.1, etcetera, etcetera.
Ok, o problema: PHP 8.1 e anteriores
já não têm suporte oficial e o PHP
tem uma norma que diz que versões sem
suporte oficial não recebem mais
correções. Eles fizeram uma exceção
para a 7.4, 8.0 e 8.1. Fizeram uma
exceção por ser um caso muito pesado
de uma vulnerabilidade muito grave, mas
só 7.4, 8.0 e 8.1. Dali para trás
não há suporte, não há correção.
Então, o que aconteceu? Há muitos
fóruns que não funcionam, que
continuam travados porque mudar a
versão do PHP é um transtorno, e há
muitos fóruns e afins que ficaram em
uma versão antiga. Existem muitos
sistemas que ficaram em uma versão
antiga e há jogos, daqueles online de
navegador, que estavam em uma versão
antiga porque migrar para outra versão
não compensava; era mais por mantê-
los lá de graça, por nostalgia. E
eles fecharam, fecharam vários jogos.
World Quest, por exemplo, que era um
jogo de viajar e percorrer o mundo,
como eu disse, são jogos de navegador.
Era um jogo lançado em 2011, para
celulares e computadores, fechou em
2019 porque não era rentável, mas em
2020, com a COVID, abriram novamente
pensando: já que é um jogo de viajar
pelo mundo, vamos reabri-lo. Como está
todo mundo trancado, pelo menos assim
se distraem. Basicamente funcionava com
um sistema bem antigo e eles dizem: "
Não conseguimos mais protegê-lo como
é necessário. Não temos a capacidade
, nem o tempo, nem a vontade—para que
vamos nos enganar—de migrá-lo para
uma versão superior". Então eles o
fecharam. Existem fóruns que vão
fechar e outros que não. Há muitos
outros fóruns, sistemas e servidores
que ficarão desatualizados por muito
tempo e serão vítimas disso, porque
saberão da vulnerabilidade e só
precisam buscar pelas versões
específicas. Eu vejo um pouco como o
bug do milênio. Não aconteceu nada
grave, como aconteceu com o bug do
milênio. Não houve nada de lamentar,
nada excessivamente grave, que se saiba
, mas houve um susto e sim, haverá
consequências de software
desatualizado, software muito antigo,
que acabará morrendo. O que aconteceu
com o bug do milênio. Eu não sei,
porque não vi nada, mas talvez o PHP
acabe lançando uma versão para a 7.3
ou anteriores. Por enquanto não
anunciaram nada e a norma deles é não
publicar nada para versões sem suporte
. Abriram uma exceção, como eu disse,
para estas versões, mas para as
anteriores não. Talvez decidam fazer
isso pelo caso excepcional que existe,
mas agora mesmo não disseram nada ou
eu não encontrei nada. Então, esse é
o assunto. Eu sei que para a maioria de
vocês tanto faz. Muitos dirão: "Pois
é, soc, eu não sei". Isso estava,
tinha metade da internet caída e eu
não sabia o porquê. Agora você sabe
o porquê. É isso. Este é um pequeno
resumo. Que ayer [resoplido] lo hablamos,
pero tampoco lo vi mucho porque yo lo
de, o sea,
terminé directo
y vi el pifostio que se había montado
medio internet, muchos lo habréis visto,
pero he podido mirarlo con más detalle.
Que ayer,
o ayer y a, sí, ayer especialmente,
medio internet se cayó.
Y esta vez no ha sido culpa de Teva. Es
de estas cosas que yo ya me alegro de no
dedicarme ya nada a la programación,
porque esto habría sido un código rojo
de manual y habría sido un em habría
sido un poco intenso vivirlo siendo
persona que se dedica a esto y que tiene
que mantener servidores. Habría sido un
poco drama, vamos, que no vamos a
engañar, ¿vale? Lo estaba mirando.
Tiene capas, ¿vale? Ha sido porque eh os
habréis enterado, pero ha habido unas
vulnerabilidades de PHP
donde eh medio mundo se ha paralizado
y temporalmente han desconectado muchas
webs.
Y por eso medio internet estaba caído.
Ha habido webs del gobierno, foros,
tiendas,
Pokémon Home,
Final Fantasy XIV, 4chan, la Rule 34,
todo por el [ __ ] fallo de PHP, o sea, ha
sido un tema, ¿vale? ¿Qué es PHP? Es un
lenguaje con el que está hecho la
mayoría de internet,
de la web, mejor dicho, eh al menos en
mi época.
Yo no quiero sonar mayor, yo sé que es
que es que suena mayor decir "en mi
época",
pero al menos en mi época la gran
mayoría de páginas webs estaban hechas
en PHP. Era el lenguaje dominante por
mucho hater que haya de PHP, que lo hay,
siempre lo ha habido, ¿eh?
Incluso en mi época. Yo sé que ahora hay
muchos haters de PHP, pero en mi época
también lo había. La mayoría de foros,
WordPress, la mayoría de las webs de
noticias, periódicos y demás estaban
hechas en PHP.
Siete de cada 10 webs,
casi nada. Tú programas en PHP y tú
pones if, que lo sabes, if que os gusta
mucho los if, ¿no?
Si pones if, que es como decir si
1 + 1
es igual a 2, pon
3
Cuando tú entras a la página web
tú no ves eso, tú ves 3 y ya está.
¿Me he explicado? If
vacas igual igual a 2
print, no, era echo, en en PHP era echo,
¿no? Echo
vacas y te va a poner 2.
¿Vale? Cuando tú entras a la página te
pone 2.
No te pone el if y todo eso, ¿por qué?
Porque es un lenguaje de servidor.
Esto lo
lo he explicado muy a grosso modo, luego
hay caché, o sea, no siempre se no todo
se hace cuando cada vez que entra una
página, no se cocina al 100%, sino que
hay caché, hay partes que se pueden
cachear para no tener que estar
calculándola cada vez que entra una
persona, para consumir menos.
Pero bueno, esto os da igual, ¿vale?
Han encontrado dos dos fallos de los
gordos.
Dos fallos
gorditos
tochos
eh
yo lo he estado ojeando por encima
tampoco voy a entrar en mucho detalle,
porque yo creo que os la suda, pero
bueno, para quien le interese, lo he
estado mirando así. A estos fallos lo
que hacen es
si tú provocas que que PHP
se le acabe la memoria
en un momento dado, justo cuando tiene
que acabársele la memoria
se deja cosas a medio hacer
y luego cuando vuelve otra vez se las
encuentra y continúa y dice para
adelante y se lo traga todo.
Esto permite la ejecución de código
remoto, es como si eres un cocinero,
¿vale?
Si consigues apagar la luz
justo antes de que emplate
o mientras está emplatando, está
emplatando y tú le apagas la luz
tú le puedes hacer lo que tú quieras en
el plato que cuando le enciendas la luz
va a decir al toque lo termino y te lo
entrego y ya puedes hacer lo que tú
quieras, ¿vale? Ese era el nivel
de fallo, explicado así un poco tal, que
tenía eh estas vulnerabilidades. Eran
muy graves, eran muy muy tochas.
O sea, puede afectar no solo a una
página web en concreto,
sino
a, o sea, afecta a servidores
directamente. Ahí se, los servidores
alojan muchas webs y pueden afectar,
pues ya digo, no solo a una web, sino a
un servidor entero que aloja a lo mejor
cientos o millones de webs, ¿vale?
El que fue el jefe de ciberseguridad de
los saltavocones de UK
lo ha dicho, ha dicho que es la
vulnerabilidad más grave descubierta en
los últimos 5 años.
Ha habido mucha, ahí ha habido, esta no
ha sido de nivel 10, ha sido al final
9,7, ha habido de nivel 10, ¿vale? Pero
bueno, aún así
lo normal cuando sale un fallo, se
detecta una vulnerabilidad así de grave,
lo normal es que tú
te la pegues, lo normal es, sale el
parche,
se actualiza, eh
por ejemplo, los navegadores, ha habido
vulnerabilidades graves de Google
Chrome, por ponerte un ejemplo de de de
navegadores.
En principio, tú normalmente ni te
coscas, simplemente entras, has abierto
el Chrome y ya se ha actualizado
automáticamente y esa vulnerabilidad se
ha parcheado antes de haber sido
explotada, ¿vale? Normalmente va así,
Internet, por en el por normal o
Windows, yo que sé, vulnerabilidad
grave, se te actualiza el Windows, tú no
te enteras, ya está, ya lo tienes
parcheado, no te has coscado y no se ha
afectado porque antes de que se haya
utilizado esa vulnerabilidad se ha
parcheado.
¿Qué cambia? Esta vulnerabilidad ¿por
qué lo cambia todo? Porque esto lo
cambia todo, a ver, hubo un [ __ ]
chivato, básicamente.
Hubo un nota
que em se había enterado de esto y en
vez de callárselo
lo dijo. [música]
Entonces, hubo un día
hubo un día durante que
se sabía que iba a haber una vulnera,
que se iba a publicar un parche para una
vulnerabilidad muy grave
y que todavía no se había hecho el
parche, no se había publicado el parche.
Entonces, ese día ha sido
que cunda el pánico, básicamente, ¿vale?
Lo que nos toca, los jueguitos, si
habéis visto juegos caídos, ¿vale?
Pokémon Home, que es donde guardas los
Pokémon, la pusieron en en mantenimiento
de emergencia.
Pokémon Champions, Pokémon Sleep, todo
esto se fue a modo mantenimiento. Muchas
veces no es porque el juego esté hecho
en PHP, obviamente, Pokémon Champions no
está hecho en PHP,
Pokémon Sleep no está hecho en PHP, pero
tiene conexión con un servidor que a lo
mejor sí que está hecho en PHP, ¿vale?
Por ahí es por lo que a lo mejor habéis
visto muchos juegos online, obviamente,
[música]
que han entrado en mantenimiento. Por
ejemplo,
Cygames o Cygames, no sé cómo se
pronuncia bien, metió también un
Mamusume, Mamusume se fue a
mantenimiento, Granblue Fantasy se fue a
mantenimiento, Shadowverse se fue a
mantenimiento, todas estas se fueron a
mantenimiento. Lo mismo, no es porque el
juego está hecho en PHP,
no se hace el juego en PHP, sino que los
servidores, hay alguna API, hay algún
tipo de ranking, hay algún tipo de
información que sí que se conecta con
algún servidor PHP, entonces,
lo mismo, por seguridad se mantiene, se
se pusieron en modo mantenimiento. Final
Fantasy XIV también, también se han
apagado los servidores.
Final Fantasy XIV porque eh dijeron que
el servidor de los parches, o sea, hay
un ser, hay unos servidores donde están
los parches o las actualizaciones, eso
estaba en PHP y nadie podía iniciar
sesión porque no se podía comprobar, así
como estuvo en mantenimiento lo de los
parches, no se podía ver si había un
parche nuevo, entonces se puso en
mantenimiento. En Países Bajos
retiraron la web del gobierno,
quitaron la carpeta del ciudadano y la
web de DigiD, que es en España, los
españoles para que entendáis, es el
Clave, su sistema Clave que tienen, pues
bueno, todo esto lo pusieron en
mantenimiento. Reino Unido,
desconectaron todos los servidores,
bueno, perdón, todos no, 32 servicios
del gobierno. En Canadá,
la web del centro de canadiense de
ciberseguridad, que es un poco irónico,
¿vale?
Mmm, el Instituto de Estadística
también. Forchan se puso en modo
lectura, también, si podéis escribir,
eso sería cachear lo que os comento,
¿vale? Lo de tienes
hace el lo que yo he dicho la cada vez
que tú entres en una web se cocine para
devolverte lo que sea,
pues lo cocinas una vez,
te devuelve eso y lo puedes y ya no lo
vuelves a seguir cocinando, sino que una
con una única vez ya lo muestras a todo
el mundo, ¿vale? Eso sería lo que es la
caché.
Pues se cayó también.
Rule 34, que entiendo que ahí es donde
la mayoría eh estuvisteis atentos y
diríais, "Hostia, ¿qué ha pasado? Algo
ha tenido que pasar que se ha caído la
Rule 34." También.
PHP, ¿vale? Esto me ha dejado loco, en
Japón,
la primera ministra,
Sanae Takaichi, escribió en su cuenta de
Twitter, un poco antes de la 10 de la
noche, escribió esto.
¿Estáis viendo esto?
O sea, ha sido el
tweet con más visua- visualizaciones de
la historia de la seguridad informática.
Tiene 90 millones de visualizaciones el
[ __ ] tweet, ¿vale?
Os lo traduzco porque obviamente
vosotros no habéis ido a Japón, entonces
no tenéis ni [ __ ] idea. Os lo traduzco.
Petición urgente que os pido que
atendáis.
Mirad si vuestra web usa PHP y preparaos
para aplicar un parche que saldrá a las
11. Si no podéis, por favor, paradla a
tiempo porque es una forma de reducir el
riesgo. Por lo visto,
la explicación es que Takaichi, la
ministra, sabe de seguridad, sabe de
programación.
De hecho, no solo sabe, sino
que publicó un libro sobre
ciberseguridad que se llama Protege tu
vida de los ciberataques. Y la editorial
fue el Instituto PHP. El mundo en
pañuelo, eh. ¿Cómo se llega a que la
primera ministra tenga que salir a
pedir, por favor, cuidado si tiene una
web PHP? Cuando hay un fallo así de
grave, normalmente va con un embargo. El
que descubre el fallo, cuando si es
hacking ético, obviamente, que es son la
la mayoría que lo descubren estos fallos
y se publican, obviamente, por hacking
ético. Cuando descubren un fallo, avisa
al afectado, en este caso a PHP, a los
que se encargan de PHP, y los avisa en
privado. PHP
lo revisa y prepara un parche en privado
para arreglarlo. Se lo pasa a los
distribuidores que
tienen PHP. Estos son los que tienen los
servidores, o más que los servidores,
los que tienen la cadena, o sea, los
servidores normalmente usan unos
sistemas
eh yo que sé, digo Hostinger, por
ponerte un ejemplo. Hostinger usa un
sistema que es una cadena de donde llega
para descargarse el el parche de PHP.
Como instaladores, por decirlo así, pero
sí son como distribuidores, realmente,
¿vale? Pues entonces se lo pasan a ellos
y ya. Después de eso, se pacta un día y
una hora, y ese día, todo a la vez,
publican se publica la el hecho, se
publica el parche y luego se explica la
vulnerabilidad. Los atacantes, por norma
general,
se enteran cuando ya está parcheado.
Como cuando en videojuegos, es como
cuando la prensa tiene el juego antes de
tiempo, tiene una fecha de embargo y
hasta esa fecha de embargo no se
publican las notas, las publican todas a
la vez, ¿vale? Nadie se entera hasta ese
día que no te avise, ¿vale? Pues bueno,
este embargo estaba fijado para el 22 de
octubre, o sea, hoy, [música] a las 2 de
la tarde. ¿Qué pasa?
Llega el martes 20, dos días antes, un
usuario en Hacker News, que es un foro
de de programadores muy conocido, ¿vale?
Y publica un mensaje diciendo que hay
dos fallos de PHP con nota de 10 sobre
10 en camino. Dice, "No puedo
demostraros nada, solo puedo deciros, no
tengo pruebas que fuente, confía en mí,
bro. Trust me, bro, ¿vale? Y esto
provocó el pánico, básicamente. Ahí
entró el pánico. Él mismo luego ha
reconocido que esto ha sido culpa suya.
Que todo está liada y el adelantamiento
del parche ha sido culpa suya porque eh
tenía que porque tenía que haberse
callado la boca. ¿Cómo lo sabía? Tenía
un contacto, ya está. Vete a saber de
qué parte si de la cadena de
suministros, si es del que lo filtró.
Hay alguien porque se lo dijo a este
nota y este nota pues lo comentó. Total,
a las pocas horas hubo una empresa de
seguridad conocida, Watchdog, que
publicó un mensaje que decía, "A ver, se
supone que tenemos que esperar al jueves
y se ha filtrado." Y lo puso y dijo,
"Confirmamos que es real, tenemos
constancia de de esto,
pero se ha filtrado." Y ahí ya pues
bueno, como digo, que cunda el pánico,
¿vale? La organización PHP adelanta el
aviso, pasa el parche del jueves al
miércoles, no lo soltó en el momento
porque la distribu lo lo las
distribuciones de Linux todavía no
estaban empaquetando. Y si lo sacas
antes de tiempo, el problema es que la
mayoría no tiene cómo instalarlo fácil,
¿sabes? Como no es algo que tú digas,
"Venga, aquí lo tienes, descárgatelo,
métetelo, descárgate un exe e
instálalo." No va así, ¿vale? ¿Qué pasa?
Tú sacas el parche antes de tiempo y
dices, "Buscárosla vida." También haces
que los atacantes puedan ver el parche y
decir, "Vale, ¿qué parche es exactamente
esto? Mmm, vale, estaba haciendo esto,
¿sabes? Destripar el parche para
intentar encontrar la vulnerabilidad
antes de que la gente la lo tenga
aplicado. Por eso
ha sido que cunda el pánico, ¿vale? Sale
[resoplido] Chain Guard. Chain Guard es
una empresa que vende seguridad de lo de
la cadena de suministro del software, lo
que os he dicho eso, ¿vale? El
distribuidor del distribuidor, ¿vale?
Pues son uno de los encargados de
asegurar seguridad para esta cadena de
suministro del software. Como todo el
mundo había recibido el parche antes de
de la fecha de embargo para que todo el
mundo a la misma hora lo publicase. ¿Qué
hace estos mongolos? Antes de la fecha
de embargo,
6 horas antes, concretamente, coge y lo
publica para sus clientes, coge y rompe
el embargo.
Lo que os he dicho antes, ahora
cualquier atacante puede [ __ ] ese [ __ ]
parche, abrirlo, destriparlo y decir
vale, exactamente qué es lo que parchea
6 horas antes de que el resto del mundo
tenga la actualización puesta. ¿Por qué
hicieron eso? Salió el CEO, ¿vale? Y
dice, lo hemos hecho porque estamos ya
viendo ataques y lo hemos querido
publicar antes que nada porque nuestra
prioridad son nuestros clientes y que
ellos además ya habían encontrado el
fallo por su cuenta. ¿Cómo? Con IA.
Okay, o sea, como que ellos realmente ya
habían encontrado el fallo. Y como lo
han usado la IA para encontrar el fallo,
pues ya está, ellos lo lanzan. Digo,
seréis bobos, tío. He leído a a uno
decir, este es el típico en un
apocalipsis zombie dice, "Hostia, mirad,
se ven los zombies por este agujero que
hay en la pared. Hola zombies." Es ese,
tío. Pero no hemos acabado, no hemos
acabado todavía. Amazon le gusta poner
trampitas, ¿vale? Supongo que lo sabéis,
os sonará, pero Amazon por ejemplo a los
repartidores le meten paquetes que no
tiene ninguna
ningún dueño, no tiene, como que son
paquetes que tú dices, "Uy, esto no no
es de nadie, ha aparecido aquí." Pero
ellos lo tienen vigilado. Te lo ponen y
si el que reparte el paquete no lo
entrega, o sea, no se lo devuelve a
Amazon, no avisa, no dice nada, porque
eso ese paquete no tiene ningún
registro, no parece de nada, pero ellos
lo tienen vigilado. Si no lo devuelve,
ponen como que el repartidor es un
ladroncete y lo lo echan o lo amonestan,
¿vale? Es como que van poniendo
trampita, ¿vale? Esto también
lo hacen en internet. Tienen servidores
que son servidores cebo y lo tienen por
el internet para que lo para que los
ataquen. Muchas veces tienen
vulnerabilidades a propósito, pero los
tienen ahí para que los ataquen, ver
quién los ataca, de dónde, localizar IP
de atacante y poder sacar información,
¿vale? Esto es algo que tiene Amazon.
Resulta que el 17 de octubre
cuatro días antes del parche y tres
antes del trust me bro, ¿vale?
Alguien
hizo un ataque contra uno de estos
servidores de Amazon de prueba con esa
vulnerabilidad. Amazon ha dicho que no
tiene mucha idea cómo han conseguido esa
información,
pero lo que sí se sabe es que PHP tenía
información de esta vulnerabilidad por
lo menos desde agosto. Entonces, hay
alguien por lo menos que ha intentado
usarlo antes, así que
mhm, es un tema, ¿vale? Es un tema de
que aquí ha habido algún problema de
chivateo, de no sé qué, ha habido al-
alguien se ha ido de la lengua antes de
tiempo y ya está. Lo que yo creo, hay
algún chivato,
hay alguno que se ha calentado la boca.
Esto obviamente ha venido a raíz de los
avances con el tema de la IA, que se han
descubierto muchos errores y demás y
alguien pues se ha ido de la boca. Esto
ha provocado, pues bueno, que medio
internet haya entrado en pánico, primero
porque han enseñado de la boca antes de
tiempo y luego otra vez alguien más se
ha ido antes de la boca, porque al final
el problema es que no se no se sabía la
vulnera- vulnerabilidad que había, pero
sí que había pistas. Pues te viene un
nota y te dice, "Hay una dos
vulnerabilidades de nivel 10, no sé
qué." Ya dices, "PHP tal." Ya estás
incitando a que otra gente con IA
también busque esas vulnerabilidades ya
con pistas. Pues vale, tenemos que ir a
PHP, tenemos que ir a tal, vamos a
buscar esa y ya es complicado, ¿sabes?
Los que atacan se pueden poner a
buscarlo y entonces eso ha provocado el
pánico y que todo el mundo, pues o que
mucha gente haya chapado o que haya
pausado temporalmente los servidores.
Problema de todo esto, las consecuencias
de esto. Hay servidores
que están un poco
por ahí perdidos, que están inactivos y
que tienen versiones antiguas de PHP.
Han muerto muchos servidores, han muerto
muchos juegos y han muerto muchos foros.
PHP tiene versiones, ¿vale? Imaginaos
como Windows, pues igual, los PHP,
aunque sea lenguaje de programación,
también tiene versiones. Está PHP 5, que
ha sido durante mucho tiempo el que más
se usaba. Luego hubo, estuvieron
haciendo PHP 6, por lo visto fue un
pedazo de [ __ ]
fue un pedazo de [ __ ] y dijeron, "Nos
saltamos el 6." Un poco como Windows,
que se saltaron el 9, pues igual,
dijeron, "Esto es un pedazo de [ __ ]
esto no hay quien lo coja." Y se
saltaron PHP 6, luego vino PHP 7,
y luego hay versiones dentro de o sea,
está la 5.5,
la 5.6, la 5.6, por ejemplo, es bastante
popular, bastante mainstream, porque
precisamente como el 6 no llegó
a materializarse, muchos se quedaron en
la 5.6, estuvo muchos años la 5.6,
¿vale? Luego vino la 7, luego vino pues
la 7.4,
pues la 8 y la 8.1, etcétera, etcétera,
¿vale?
El problema, PHP
8.1 y anteriores ya no tienen soporte
oficial y PHP tiene una norma que es
a las versiones que no tienen soporte
oficial ya no se les hacen parches. Han
hecho una excepción para 7.4,
8.0 y 8.1.
Han hecho una excepción por ser
un caso muy tocho de una vulnerabilidad
muy grave, pero 7.4, 8.0 y 8.1. De ahí
para atrás no hay soporte, no hay
parche.
Entonces, ¿qué ha pasado?
Hay muchos foros que no van a que siguen
anclados porque un cambiar de versión de
PHP es una movida. Y hay muchos foros y
demás que se han quedado en una versión
antigua, hay muchos sistemas que se han
quedado en una versión antigua y hay
juegos
que eran juegos de estos online, de
navegador, que estaban en una versión
antigua, porque pasarlo a otra versión,
pues no les compensaba, era un poco por
tenerlo ahí gratis, nostálgico, y han
chapado.
Han chapado varios juegos. World Quest,
por ejemplo, que era un juego de viajar
y recorrer el mundo, como se te digo, ya
digo, son juegos de navegador.
Y era un juego que salió en 2011, era
para móviles y ordenadores,
cerró en 2019 porque no le salía a
cuenta, pero en 2020 con el COVID lo
volvieron a abrir, como en plan, ya que
es un juego de vir, de viajar por el
mundo, pues lo volvemos a abrir, como
está todo el mundo encerrado, por lo
menos así se entretienen, básicamente.
Funcionaba con un sistema bastante viejo
y dicen, no lo podemos proteger ya como
hace falta, no tenemos la capacidad, ni
el tiempo, ni las ganas, para que no
vamos a engañar, de pasarlo a una
versión superior, así que lo han
chapado. Hay foros que van a chapar y
hay otros que no. Hay otros muchos foros
y muchos sistemas y servidores que van a
estar ahí desactualizados durante mucho
tiempo y van a ser víctimas de esto.
Porque van a saber la vulnerabilidad y
solo tienes que buscar las versiones
concretas. Yo lo veo un poco
el efecto 2000.
[risas]
No ha pasado nada gordo, como pasó con
el efecto 2000, no hubo nada al final
que lamentar, nada excesivamente gordo,
que se sepa, pero eh sí que ha habido un
susto
y sí que habrá consecuencias de software
desactualizado,
software muy anticuado que
acabará por morir, lo que pasó con el
efecto 2000. Yo no sé, porque no han, no
he visto nada, pero
lo mismo PHP acaba sacando una versión
igualmente para 7.3 hacia atrás. Por
ahora no lo ha anunciado y su norma es
no publicar nada para versiones sin
soporte. Han hecho una excepción, ya
digo, con estas versiones, pero de ahí
para atrás no, a lo mejor sí que deciden
hacerlo por el caso excepcional que hay,
pero ahora mismo no, no han dicho nada,
yo no he encontrado nada. Así que
[resoplido]
esto es el tema. Yo sé que a la mayoría
os la pela, muchos diréis, pues ok, pues
no lo sé, esta, estaba, tenía medio
internet tumbado y no sabía el porqué,
ahora sabéis porqué y ya está.
[resoplido]
Esto es un poco el resumen. We talked about it yesterday, but I
didn't see much because I finished up
and saw the mess half the internet had
gotten into; many of you probably saw
it, but I've been able to look at it in
more detail than yesterday. And yes,
yesterday half the internet essentially
went down, and this time it wasn't
TBA's fault. It's one of those things
where I'm glad I'm not in programming
anymore, because this would have been a
textbook code red, and it would have
been, um, a bit intense to experience
while working in the field and having
to maintain servers. It would have been
a bit of a drama, let's not kid
ourselves. Okay, I was looking into it;
it’s got layers, you know? It
happened because, well, you probably
heard, there were some PHP
vulnerabilities. Where half the world
came to a standstill, and many websites
were temporarily disconnected, which is
why half the internet was down. There
were government sites, forums, stores,
Pokémon Home, Final Fantasy 14, 4chan,
Rule 34, all because of that damn PHP
flaw. I mean, it was quite a thing.
Alright? What is PHP? It's the language
that most of the internet—or the web,
rather—is built with, at least back
in my day. I don't want to sound old. I
know it sounds old. To say "back in my
day," but at least in my time, the vast
majority of websites were made in PHP.
It was the dominant language, despite
the many PHP haters that exist. There
have always been some, even in my day;
I know there are a lot of PHP haters
now, but there were back then too. Most
forums, WordPress, most news sites,
newspapers, and the like were made in
PHP. Seven out of every ten websites—
no big deal. You program in PHP, and
you use an "if" statement, which you
all love so much, right? If you use "if
," it's like saying if 1 + 1 equals 2,
then display 3. When you visit the
website, you don't see that; you just
see 3, and that's it. I've explained an
"if." cows equals equals two Print? No,
in PHP it was "echo," wasn't it? Echo
cows, and it's going to display two,
okay? When you enter the page, it shows
you two, not the "if" and all that
stuff. Why? Because it's a server-side
language. I've explained this in very
broad strokes. Then there's cache, I
mean, not everything is done every time
you enter a page, it’s not cooked 100
%, but there is cache, there are parts
that can be cached so you don't have to
calculate them every time someone
enters to consume less. But anyway, you
don't care about this, okay? They've
found two big, big flaws, two chunky,
heavy ones, huh? I've skimmed through
it. I'm not going to go into much
detail either because I think you
couldn't care less, but hey, for
whoever is interested, I've been
looking at it like that. What these
flaws do is, if you cause PHP to run
out of memory at a given moment, right
when it's about to run out, it leaves
things half-done and then when it comes
back it finds them and continues, says
go ahead, and swallows it all. This
allows for remote code execution. It's
like if there was a cook, okay? If you
manage to turn off the light just
before he plates or while he's plating,
he's plating and you turn off the light
, you can do whatever you want to the
dish, and when you turn the light back
on he'll say: "I'll finish it in a
flash and serve it," and you can do
whatever you want. Okay, that was the
level of the flaw, explaining a bit how
these vulnerabilities were very serious
, they were really big. I mean, it can
affect not just a specific webpage, but
it affects servers directly. Servers
host many websites and can affect, well
as I say, not just one website, but an
entire server that hosts maybe hundreds
or thousands of websites, okay? The
former head of cybersecurity for the
saltaborcones of UCA has said that it
is the most serious vulnerability
discovered in the last 5 years. There
have been many, this one hasn't been a
level 10, it ended up being a 9.7,
there have been level 10s, okay? But
even so, usually when a flaw comes out,
a vulnerability this serious is
detected, the normal thing is that you
couldn't care less. The normal thing is
the patch comes out, it updates. Uh,
for example, browsers. There have been
serious vulnerabilities in Google
Chrome, to give you an example, of
browsers. In principle, you usually
don't even notice, you just enter, you
opened Chrome and it has already
updated automatically, that
vulnerability has been patched before
it was exploited. Okay, usually that's
how the internet or Windows works, I
don't know, a serious vulnerability.
Windows updates itself, you don't even
notice, that's it, you have it patched,
you didn't even realize it and you
weren't affected because it was patched
before that vulnerability was used.
What changes with this vulnerability?
Why does it change everything? Why does
this change everything? Let's see.
There was a damn snitch. Basically,
there was a guy who found out about
this and instead of keeping quiet, he
talked. So, there was a day, there was
a day when it was known that there was
going to be a vulner...that a patch was
going to be released for a very serious
vulnerability, and that the patch
hadn't been made yet or the patch
hadn't been released. So, that day was
panic mode, basically. Okay, regarding
games, if you've seen games go down,
okay? Pokémon Home, where Pokémon are
stored, they put it in emergency
maintenance, Pokémon Masters, Pokémon
Sleep, all of that went into
maintenance mode. Often it's not
because the game is made in PHP,
obviously Pokémon Masters isn't made
in PHP, Pokémon Sleep isn't made in
PHP, but it connects to a server that
might actually be made in PHP, okay?
That's why you might have seen many
online games, obviously, that have
entered maintenance. For example, Ca
Games or C Games, I don't know how to
pronounce it right, also put Uma Musume
in. Uma Musume went into maintenance,
Granblue Fantasy went into maintenance,
Shadowverse went into maintenance, all
of these went into maintenance. Same
thing, it's not because the game is
made in PHP, games aren't made in PHP,
but the servers have some API, some
kind of ranking, some kind of
information that does connect to a PHP
server. So, the same thing, for
security, they were kept, they were put
in maintenance mode. Final Fantasy 14
also shut down its servers. Final
Fantasy 14 because they said the patch
server, I mean, there are some servers
where the patches with the updates are
located. That was on PHP and no one
could log in because it couldn't verify
, since the patch system was in
maintenance, it couldn't see if there
was a new patch, so it went into
maintenance in the Netherlands. They
took down the government website, they
removed the citizen's folder and the
DGT website, which is for Spaniards,
their Cl@ve system. Well, all of that
was put into maintenance mode. In the
UK, they disconnected all the servers,
well, sorry, not all, 32 government
services. In Canada, the Canadian
Centre for Cyber Security's website,
which is a bit ironic, okay? Hm. The
Statistics Institute as well. 4chan was
set to read-only mode, also unable to
post. That would be caching, which is
what I'm telling you about, okay? The,
you know, what I said: instead of
cooking up a response every time you
enter a site, you cook it once, it
gives you the result and you save it,
and you don't keep cooking it, you just
show that one version to everyone, okay
? That is what the cache is. Rule 34
went down too, which I assume is where
most of you paid attention and said, "
Damn, what happened?" Something must
have happened for Rule 34 to go down as
well. PHP, okay? And this has left me
speechless. In Japan, Minister Sanae
Takaichi wrote on her Twitter account
just before 10 p.m., she wrote this.
Are you seeing this? I mean, it has
been the tweet with the most views in
the history of cybersecurity. The damn
tweet has 90 million views. Okay, I'll
translate it for you because obviously
you don't watch Japan, so you have no
damn idea. I'll translate it for you.
An urgent request that I ask you to
attend to. Check if your site uses PHP
and prepare to apply a patch that will
be released at 11. If you can't, please
shut it down in time because it's a way
to reduce the risk. Apparently, the
explanation is that Takaichi, the
minister, knows about security, she
knows about programming. In fact, not
only does she know, but she published a
book on cybersecurity called "Protect
Your Life from Cyberattacks" and the
publisher was the PHP Institute, it's a
small world. Uh, how do we get to the
point where the minister has to come
out and ask please be careful if you
have a site in PHP? When there is a
flaw this serious, it usually comes
with an embargo. When someone discovers
a flaw, if it's Hackinetics—obviously
, they are the ones who discover most
of these flaws, which are then
published by Hackinetics—they notify
the affected party, in this case PHP,
the people in charge of PHP, and they
notify them privately. PHP reviews it
and prepares a patch privately to fix
it. They pass it on to the distributors
that carry PHP. These are the ones who
have the servers, or rather than the
servers, they have the chain. I mean,
servers usually use systems, uh, like
Hostinger, to give you an example.
Hostinger uses a system which is a
chain where it arrives to download the
PHP patch, like installers, so to speak
, but they really are like distributors
, okay? So then they pass it on to them
, and after that, a day and time are
agreed upon, and that day, all at once,
the fact is published, the patch is
published, and then the vulnerability
is explained. Attackers, as a general
rule, find out when it's already
patched; it’s like in video games
when the press has the game early,
there's an embargo date, and until that
embargo date, the reviews aren't
published, and they all publish them at
once, okay? Nobody knows anything until
that review day. Right, well, this
embargo was set for October 22nd, that
is, today at 2:00 PM. What happened?
Tuesday the 20th arrives, two days
before, and a user on Hacker News,
which is a very well-known programmer
forum, okay? Posts a message saying
there are two PHP flaws with a 10 out
of 10 rating on the way. He says, "I
can't prove anything to you, I can only
tell you, I don't have proof, source:
trust me, bro." Trust me, bro. Okay,
and this caused panic. Basically, panic
set in right there. He later
acknowledged himself that this was his
fault, that all this mess and the early
release of the patch was his fault
because he should have kept his mouth
shut. How did he know? He had a contact
. That's it. Who knows from what part,
if from the supply chain, if it’s the
person who leaked it. There is someone,
because they told this guy, and this
guy commented on it. Anyway, a few
hours later, there was a well-known
security company, Watch, that posted a
message saying, "Look, we're supposed
to wait until Thursday, and it has been
leaked.""And he posted and said," We
confirm it's real, we've been aware of
this, but it has leaked. "" And that's
when, well, as I say, panic sets in,
okay? The PHP organization moves the
notice up, moves the patch from
Thursday to Wednesday, they didn't
release it right away because Linux
distributions were still packaging it,
and if they release it ahead of time,
the problem is that most people don't
have an easy way to install it, you
know? Since it's not something where
you say, "Come on, here you go,
download it, run it, download an exe,
install it," it doesn't work like that,
okay? "What happens if you release the
patch ahead of time and say," Figure it
out? "" You also make it so attackers
can see the patch and say, "Okay, what
exactly does this patch?""Hm, okay,
you're doing this, you know? Dissecting
the patch to try to find the
vulnerability before people have
applied it. That's why panic has set in
, okay? Chineward comes out. Chineward
is a company that sells software supply
chain security. What I told you, okay?
The distributor of the distributor,
okay? Well, they are one of the ones in
charge of ensuring security for this
software supply chain. Since everyone
had received the patch before the
embargo date so that everyone would
publish it at the same time. What do
these morons do before the embargo date
? 6 hours earlier, specifically, they
go and publish it for their clients.
They go and break the embargo. What I
told you before. Now, any attacker can
take that damn patch, open it, dissect
it, and say," Okay, exactly what is it
patching 6 hours before the rest of the
world has the update installed? "" Why
did they do that? The CEO came out,
okay? And says, "We did it because we
are already seeing attacks and we
wanted to publish it first because our
priority is our clients, and they had
also already found the flaw on their
own." How, with AI? "Okay. I mean, like
they had actually already found the
flaw, and since they used AI to find
the flaw, well that's it, they release
it. I say," Are you idiots, man? "I
read someone say, this is the typical
guy in a zombie apocalypse who says,"
Holy crap, look, you can see the
zombies through this hole in the wall.
"Hello zombies. It's that one, man. But
we aren't done, we aren't done yet.
Amazon likes to set little traps, okay?
I assume you know, it'll ring a bell,
but Amazon, for example, they put
packages on delivery drivers that don't
have any owner, like, they're packages
where you'd say," Whoa, this doesn't
belong to anyone. "It just appeared
here, but they are monitoring it. They
give it to you, and if the delivery
person doesn't deliver it, I mean, if
they don't return it to Amazon, don't
notify them, don't say anything because
that package has no record, doesn't
seem to be anything, but they are
tracking it. If they don't return it,
they label the driver as a little thief
and fire them or reprimand them, okay?
It's like they go around setting little
traps, okay? They also do this on the
internet; they have servers that are
bait servers and they leave them out on
the internet to be attacked. Often they
have vulnerabilities on purpose, but
they keep them there to be attacked, to
see who attacks them, from where, to
locate the attacker's IP and be able to
extract information. Right, this is
something Amazon does. It turns out
that on October 17th, 4 days before the
patch and three before the" Truce Me
Bro, "okay? Someone launched an attack
against one of these Amazon test
servers with that vulnerability. Amazon
has said they don't have much of an
idea how they got that information, but
what is known is that PHP had
information about this vulnerability
since at least August. So, there is at
least someone who tried to use it
beforehand. So mm it's an issue, okay?
It's an issue that there's been some
problem with leaking, or I don't know
what happened. Someone spoke out of
turn ahead of time and that's it. What
I think is there's some snitch, someone
who couldn't keep their mouth shut.
This obviously came about as a result
of the progress with the issue, with
many errors discovered and so on, and
someone just spilled the beans. This
has caused, well, half the internet to
panic. First, because they spoke too
soon, and then, someone else spoke out
of turn again, because in the end, the
problem is that the vulnerability that
existed wasn't known. But there were
clues, because if some guy comes along
and says," There are one or two level
10 vulnerabilities, or whatever, "
naming PHP, he’s already encouraging
other people with AI to also look for
those vulnerabilities. With clues like,
" Okay, we have to go to PHP, we have
to go to...let's look for them, "and it
gets complicated, you know? Attackers
can start looking for them, and
that’s what caused the panic and led
everyone—or at least a lot of people
—to shut down or temporarily pause
their servers. The problem with all of
this, the consequences of this. There
are servers out there that are kind of
lost, inactive, and running old
versions of PHP. Many servers have died
, many games have died, and many forums
have died. PHP has versions, okay?
Imagine it like Windows; well, PHP,
even though it's a programming language
, also has versions. And there is PHP 5
, which was the most used for a long
time. Then they were working on PHP 6,
which apparently was a piece of [ __ ].
It was a piece of [ __ ], and they said,"
We’re skipping six. "A bit like
Windows, where they skipped nine; well,
they probably said," This is a piece of
[ __ ], no one can work with this, "and
they skipped PHP 6. Then came PHP 7,
and then there are versions within it,
I mean, there’s 5.5, 5.6...5.6, for
example, is quite popular, quite
mainstream, because precisely since six
never materialized, many stayed on 5.6.
5.6 was around for many years, okay?
Then came 7, then came 7.4, then 8 and
8.1, and so on and so forth. Right, the
problem is PHP 8.1 and earlier no
longer have official support, and PHP
has a rule that versions without
official support no longer receive
patches. They have made an exception
for 7.4, 8.0, and 8.1. They made an
exception because it’s a very huge
case involving a very serious
vulnerability, but only for 7.4, 8.0,
and 8.1. Anything before that has no
support, no patches. So, what happened?
There are many forums that won't work,
that remain stuck because changing the
PHP version is a huge hassle, and there
are many forums and such that have
stayed on an old version. There are
many systems stuck on an old version,
and some games—these online browser
games—remained on an old version
because upgrading wasn't worth it; it
was just there for free, for nostalgia.
And they’ve shut down, they’ve shut
down several games. World Quest, for
example, which was a game about
traveling and touring the world, as I
said, they are browser games. It was a
game that came out in 2011, for mobile
and PC, it closed in 2019 because it
wasn't profitable, but in 2020 with
COVID they reopened it like: since it's
a game about traveling the world, let's
open it again. Since everyone is locked
up, at least it keeps them entertained.
Basically, it ran on a pretty old
system and they said," We can't protect
it as needed anymore. "We don't have
the capacity, the time, or the desire
—let's be honest—to move it to a
newer version. So they’ve shut it
down. There are forums that will shut
down and others that won't. There are
many other forums and systems and
servers that will remain outdated for a
long time and will be victims of this
because they will know the
vulnerability and you just have to look
for the specific versions. I see it a
bit like the Y2K bug. Nothing major
happened, just like with Y2K. There was
nothing final to regret, nothing
excessively serious, as far as we know,
but hey, there was a scare and there
will be consequences for outdated
software, very old software, that will
end up dying. Just like what happened
with Y2K. I don't know because I
haven't seen anything, but maybe PHP
ends up releasing a version for 7.3 and
earlier anyway. For now, they haven't
announced it and their rule is not to
publish anything for unsupported
versions. They made an exception, as I
said, for these versions, but nothing
before that. Maybe they do decide to do
it because of this exceptional case,
but right now they haven't said
anything or I haven't found anything.
So that’s the issue. I know most of
you don't care. Many of you will say,"
Well, look, I don't know. This was, it
had half the internet down and I didn't
know why. Now you know why. That’s it
. That’s the summary.