Der stellvertretende Premierminister und Minister für höhere Bildung, Wissenschaft, Forschung und Innovation, Prof. Dr. Yoschanan Wongsawat, hat die seinem Ministerium unterstellten Behörden angewiesen, Systeme, die auf der Programmiersprache PHP basieren, umgehend zu überprüfen und zu aktualisieren. Laut dem Minister erfolgte diese Anordnung infolge einer Warnung vor einer schwerwiegenden Sicherheitslücke in PHP.
Yoschanan erklärte, dass die Schwachstelle es böswilligen Akteuren ermöglichen könnte, unbefugt auf Systeme zuzugreifen und die Kontrolle über diese zu übernehmen. Er priorisierte dabei Universitäten und medizinische Hochschulkliniken, da diese große Mengen sensibler Daten verwalten.
Wie Yoschanan mitteilte, wurde die schwerwiegende Sicherheitslücke vom Forschungsteam von OpenAI entdeckt. OpenAI gab an, dass Calif unter der Initiative Patch the Planet mit Unterstützung eines OpenAI-Modells einen kritischen Fehler identifiziert habe und dass auch Wiz die Schwachstelle unabhängig entdeckt und gemeldet habe.
Yoschanan empfahl ein Vorgehen in drei Schritten: Vorbereitung, Risikoeindämmung und Behebung. Der erste Schritt besteht darin, dass IT-Teams sämtliche Webseiten und Systeme mit PHP überprüfen, wobei Patientendaten- und Studentendatenbanken vorrangig behandelt werden sollen. Im zweiten Schritt sollen zusätzliche Schutzmaßnahmen für Netzwerk- oder Cloud-Systeme aktiviert und das System auf ungewöhnliche Zugriffe überwacht werden, während das Hauptupdate vorbereitet wird.
Der dritte Schritt umfasst das dringende Testen und Aktualisieren von PHP auf die neueste sichere Version, um die Schwachstelle dauerhaft zu schließen, so Yoschanan. Er gab an, sich mit den zuständigen Ministerien über Präventivmaßnahmen abgestimmt zu haben und bestätigte, dass die ihm unterstellten Behörden mit Hochdruck an der Lösung des Problems arbeiten.
OpenAI teilte mit, dass die PHP-Entwickler die Erstellung der Korrekturen und die Veröffentlichung der Updates geleitet haben. Das Entwicklungsteam hatte laut Yoschanan zwei Monate Zeit, um korrigierende Updates und Schutzmaßnahmen vorzubereiten. Auch das Office of the Personal Data Protection Committee hat Organisationen und Webseitenadministratoren auf die Situation aufmerksam gemacht.
