Kritiskas PHP ievainojamības var apdraudēt miljoniem tīmekļa vietņu
Programmēšanas valodas PHP izstrādātāji šodien plāno izlaist drošības ielāpus divām kritiskām ievainojamībām ar smaguma novērtējumu 9,2 no 10. Drošības iestādes aicina vietnes, kas nespēj ielāpu uzstādīt uzreiz, īslaicīgi atslēgt sistēmas.
Programmēšanas valodas PHP, ko plaši izmanto tīmekļa vietņu un lietotņu izstrādei, izstrādātāji paziņojuši, ka šodien plkst. 10.00 pēc ASV austrumu piekrastes laika (ET) tiks izlaisti drošības labojumi divām kritiskām ievainojamībām. Brīdinājumā, kas publicēts otrdien, tās novērtētas ar 9,2 punktiem no iespējamiem 10. Ja ievainojamību detaļas kļūs publiskas vai tiks konstatēta aktīva izmantošana, labojums var tikt izlaists agrāk. Lietotāji tiek aicināti atjaunināt PHP, tiklīdz versija ir pieejama.
Ko varētu izdarīt uzbrucēji
Kā norāda kiberdrošības uzņēmums watchTowr, runa ir par attālās koda izpildes ievainojamībām, kas, iespējams, skar visas PHP versijas, sākot ar PHP 5. Uzbrucēji varētu palaist savu kodu ietekmētajos serveros, mainīt vietņu saturu, nozagt datus un veikt citas ļaunprātīgas darbības.
Iespējamais mērogs
Viens drošības pētnieks lēš, ka ietekmēti varētu būt vairāk nekā 1,3 miljoni ar internetu savienotu resursdatoru. WordPress drošības spraudņu nodrošinātājs Wordfence brīdina, ka neaizsargāta būs ikviena WordPress vietne, jo tās darbojas uz serveriem ar PHP. WordPress pērn ziņoja, ka tā nodrošina vairāk nekā 40 procentus interneta. Wordfence arī norāda, ka labojumu nevar uzstādīt ar automātiskajiem atjauninājumiem, tāpēc vietņu īpašniekiem jānoskaidro, kurš atbild par PHP atjaunināšanu, un ielāps jāuzstāda manuāli.
Ieteikumi un jau novērotie uzbrukumi
Eiropas Savienības Datoru ārkārtas reaģēšanas komanda un Apvienotās Karalistes Nacionālais kiberdrošības centrs izdevuši brīdinājumus. Uzņēmumiem, kas nevar nekavējoties uzstādīt ielāpu, tie iesaka izolēt internetam pieslēgtās lietotnes no publiskajiem tīkliem vai tās pilnībā atslēgt, līdz riski ir novērsti. Mobilo operētājsistēmu izstrādātājs GrapheneOS īslaicīgi atslēdzis savu lietotāju diskusiju forumu, jo jau tiek veidoti koncepcijas pierādījuma uzbrukumi. PHP izstrādātāja Gina Peter Banyard teic, ka vienīgais risinājums ir ielāps, bet citādi serveru izslēgšana varētu būt saprātīgākais solis.
Kiberdrošības uzņēmuma Sansec pētnieki gaida masveida uzbrukumus 15 minūšu laikā pēc izlaišanas. Cloudflare tehnoloģiju direktors Dane Knecht norāda, ka uzņēmuma PHP vietnēm jau novēroti agrīni uzbrukumi, un Cloudflare pagaidām atjaunina ugunsmūra noteikumus kā pārejošu risinājumu.
