Kas nutiko ir kodėl tai svarbu
PHP yra viena plačiausiai naudojamų serverio pusės technologijų, nuo kurios priklauso daugybė interneto svetainių ir paslaugų veikimas. Ji naudojama ir populiariuose turinio valdymo sprendimuose, tokiuose kaip „WordPress“, „Drupal“ ar „Joomla“, taip pat e. prekybos įskiepiuose ir hostingo valdymo įrankiuose.
Dėl to pranešimai apie dvi kritines PHP saugumo spragas sukėlė reakciją ne tik programuotojų bendruomenėje. Kai kurios organizacijos, siekdamos sumažinti riziką, laikinai ribojo paslaugų pasiekiamumą, kol buvo įdiegtos saugumo pataisos.
Ką gali leisti ataka
Ekspertų vertinimu, šios spragos tam tikromis sąlygomis gali sudaryti prielaidas nuotoliniam kodo vykdymui be išankstinės autentifikacijos. Praktikoje tai reikštų, kad užpuolikas galėtų perimti serverio kontrolę, įdiegti kenkėjiškas programas, bandyti pasiekti duomenis ar sutrikdyti paslaugų veikimą.
Riziką didina tai, kad PHP dažnai veikia ne tik viešai matomose svetainėse, bet ir administravimo panelėse, vidinėse aplikacijose, automatizavimo scenarijuose ar trečiųjų šalių hostingo aplinkose. Dėl šios priežasties ne visada iš karto aišku, kur konkrečiai organizacijoje naudojamas pažeidžiamas komponentas.
CERT perspėjimai ir rekomendacijos
Į riziką atkreipė dėmesį ir kibernetinio saugumo institucijos įvairiose šalyse, ragindamos neatidėlioti atnaujinimų. Kai kuriais atvejais, jei pataisų greitai įdiegti nepavyksta, rekomenduojama svarstyti laikiną pažeidžiamų sistemų atjungimą nuo interneto, kad būtų sumažinta tikimybė tapti automatizuotų atakų taikiniu.
Apie spragas informavo ir CERT, pabrėždamas, kad vienintelė patikima apsauga yra atnaujintos PHP versijos įdiegimas. Taip pat akcentuojama, kad pažeidžiamumas gali paliesti ir su PHP susietas sistemas, pavyzdžiui, „WordPress“, „Joomla“ ar „WooCommerce“ dieginius.
„Vienintelė veiksminga apsaugos priemonė yra įdiegti pataisytą PHP versiją ir stebėti, ar nėra išnaudojimo požymių“, – teigiama CERT perspėjimuose.
Kodėl vien atnaujinimo gali nepakakti
Praktikoje vien pataisos įdiegimas ne visada užtikrina, kad infrastruktūra anksčiau nebuvo pažeista. Dėl to po atnaujinimų rekomenduojama peržiūrėti sistemų žurnalus, suaktyvinti stebėseną ir ieškoti įtartinų procesų ar netipinių ryšių.
Problemos mastą apsunkina ir tai, kad senesnės PHP šakos ne visuomet sulaukia pilno palaikymo, todėl daliai organizacijų tenka ne tik įsidiegti pataisas, bet ir migruoti į palaikomą versiją. Papildomas iššūkis yra inventorizacija, kai būtina identifikuoti visas vietas, kur PHP naudojamas tiesiogiai ar kaip priklausomybė.
Spragų aptikimas siejamas ir su tuo, kad saugumo tyrėjai vis dažniau pasitelkia DI, kuris leidžia greičiau analizuoti didelius kodo kiekius. Tačiau ta pati kryptis didina ir riziką, nes pažangūs įrankiai gali paspartinti ne tik klaidų radimą, bet ir jų išnaudojimo scenarijų kūrimą.
Leave a Reply