Dla języka programowania PHP, powszechnie używanego do tworzenia stron i aplikacji internetowych, mają zostać udostępnione poprawki bezpieczeństwa usuwające dwie krytyczne luki. W opublikowanym we wtorek komunikacie programiści PHP określili poziom zagrożenia na 9,2 na 10 możliwych punktów. Niektóre agencje cyberbezpieczeństwa zachęcają witryny do tymczasowego wyłączenia systemów, jeśli nie są one w stanie natychmiast zastosować poprawki. Zgodnie z analizą firmy watchTowr błędy to exploity typu Remote Code Execution, które dotyczą wszystkich wersji od PHP 5 wzwyż i mogą umożliwić atakującym uruchomienie własnego kodu na podatnych serwerach, pozwalając na złośliwą modyfikację stron, kradzież danych i inne działania.
Brak automatycznej instalacji i zasięg podatności
Według szacunków jednego z badaczy cyberbezpieczeństwa podatność dotyczy ponad 1,3 miliona serwerów podłączonych do sieci. Zespół firmy Wordfence, tworzącej wtyczkę bezpieczeństwa dla WordPressa, ostrzegł, że podatna będzie każda strona działająca na tym systemie, ponieważ wszystkie korzystają z serwerów używających PHP. WordPress podał w ubiegłym roku, że zasila ponad 40 procent internetu.
Wordfence zaznacza przy tym, że poprawki nie da się zainstalować za pomocą automatycznych aktualizacji. Właściciele stron muszą ustalić, kto odpowiada za aktualizację PHP, aby ręcznie zastosować łatkę. Użytkownicy PHP są wzywani do aktualizacji natychmiast po udostępnieniu poprawki.
Zalecenia dotyczące odłączenia serwerów od sieci
Planowy termin publikacji poprawki wyznaczono na godzinę 10:00 czasu wschodniego (ET), z możliwością jej wcześniejszego wydania, jeśli szczegóły luki staną się publiczne lub pojawią się dowody na aktywne wykorzystywanie luk. Europejski Zespół Reagowania na Incydenty Komputerowe (CERT-EU) oraz brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) wydały zalecenia zachęcające firmy, które nie mogą natychmiast wdrożyć łatki, do odizolowania aplikacji dostępnych z sieci publicznej lub całkowitego ich wyłączenia do czasu usunięcia podatności. Na taki krok zdecydował się zespół rozwijający system mobilny GrapheneOS, który tymczasowo wyłączył forum dyskusyjne, ponieważ powstają już exploity typu proof of concept, a twórcy nie chcą ryzykować. Programistka PHP Gina Peter Banyard wskazała, że aktualizacja jest jedynym środkiem zaradczym, a w przeciwnym razie wyłączenie serwerów może być najbardziej rozsądnym rozwiązaniem.
Specjaliści do spraw zagrożeń z firmy Sansec oceniają, że zmasowane ataki rozpoczną się w ciągu 15 minut od publikacji łatki. Dyrektor do spraw technologii w Cloudflare, Dane Knecht, poinformował, że widoczne są już wczesne ataki wymierzone w witryny oparte na PHP. W reakcji na to Cloudflare tymczasowo aktualizuje reguły zapory sieciowej, co ma stanowić rozwiązanie doraźne do momentu udostępnienia poprawki.