Nadace PHP přiznala, že problémy v rozhodovacím procesu a omezené zdroje zpozdily opravu zabezpečení PHP kvůli chybě, která byla poprvé odhalena v roce 2024. Po středečním vydání nouzových záplat pro dvě související kritické zranitelnosti odpojily vládní agentury a další organizace své weby preventivně.

Klíčové body

  • Nadace označila opožděnou reakci za strukturální selhání, které se týkalo bezpečnostních procesů i zdrojů.
  • Zranitelnosti by mohly neověřeným útočníkům umožnit spouštět kód na napadených serverech.
  • Kryptoměnové organizace prověřovaly svou expozici, zatímco Coinbase a BitGo uvedly, že nemají žádné zasažené systémy.

Obsah

Oprava zabezpečení PHP uvázla kvůli kompatibilitě a nedostatku pracovníků

Podle vyjádření nadace zůstával známý technický problém měsíce nevyřešený. Vývojáři odhalili známky zranitelnosti v roce 2024, ale jen obtížně hledali nápravu, která by nenarušila rozsáhlý softwarový ekosystém postavený na PHP, jazyce široce používaném pro weby a webové aplikace.

V té době se vývojářům nepodařilo najít způsob, jak dosáhnout vzdáleného spuštění kódu. Malá skupina lidí se znalostí potřebnou k práci s jádrem PHP měla i další povinnosti, takže práce na opravě se podle nadace opakovaně zastavovala a znovu rozbíhala.

Nadace označila zpoždění za „strukturální selhání“, jehož příčinou byl rozhodovací proces bezpečnostního týmu i nedostatek zdrojů.

Problém se stal nejvyšší bezpečnostní prioritou poté, co bezpečnostní firma Calif a OpenAI nezávisle nahlásily stejný základní problém 11. srpna. Calif demonstrovala bezpodmínečné vzdálené spuštění kódu.

Preventivní vypínání se rozšířilo na veřejné služby

Nouzová vydání vyvolala výpadky v několika zemích, když provozovatelé odpojovali služby v rámci přípravy na aktualizace. Nizozemsko odstavilo svou službu digitální identity a Národní centrum kybernetické bezpečnosti znepřístupnilo i vlastní web.

Finský státní poskytovatel IT služeb Valtori odpojil veřejné webové služby státní správy, zatímco francouzské ministerstvo vnitra dočasně vyřadilo z provozu weby prefektur. Německý federální poskytovatel IT služeb ITZBund rovněž deaktivoval několik webů.

Australské Ředitelství signálů uvedlo, že mezi vládními weby zasaženými problémem PHP byl i cyber.gov.au. Japonská premiérka Sanae Takaichi vyzvala provozovatele, aby se připravili na rychlou instalaci oprav, a uvedla, že dočasné pozastavení funkcí webu může snížit riziko, pokud okamžitá aktualizace není možná.

Nadace Wikimedia rovněž odstavila podpůrné služby, včetně Toolforge a Cloud VPS, což ve středu ovlivnilo některé funkce Wikipedie.

Kryptoměnové společnosti vyhodnocují možnou expozici

Blockchainová bezpečnostní firma SlowMist uvedla, že její služba MistEye nalezla přímé otisky PHP u 793 z 1 488 domén z kryptoměnového odvětví, které prověřila. Vyzvala burzy, platformy DeFi a poskytovatele peněženek, aby zkontrolovali svou expozici a provedli aktualizaci. Zjištění potvrdila používání PHP, nikoli zranitelnost těchto domén.

Intersect, členská organizace podporující vývoj a správu Cardana, dočasně uzavřela svou členskou sekci, zatímco prověřovala možnou expozici.

Jeff Lunglhofer, ředitel bezpečnosti společnosti Coinbase, uvedl, že firma nenašla žádné důkazy o zranitelných instancích PHP a prověřuje také dodavatele třetích stran. BitGo samostatně uvedla, že její platforma nebyla zasažena.

Stav zneužití zranitelnosti je třeba odlišovat od prokázaného rizika

Navzdory prokázanému riziku vzdáleného spuštění kódu uvedl bezpečnostní tým PHP, že v době zveřejnění informace neidentifikoval žádné funkční exploity.

OpenAI prostřednictvím GitHubu zveřejnila nástroj Codex, který má provozovatelům pomoci ověřit, zda používají potenciálně zranitelné verze PHP, a určit, které aktualizace se na ně vztahují.

Závěr

Nouzové záplaty řeší bezprostřední zranitelnosti, zatímco přiznání nadace poukazuje na selhání v procesech, která jejich vydání zpozdila. Hlášená odstavení byla preventivním opatřením, nikoli důkazem, že zasažené organizace byly napadeny.

Další zprávy

Další zprávy FinanceVelix

Upozornění

Tento článek FinanceVelix poskytuje obecné informace, nikoli individuální finanční, investiční, právní nebo daňové poradenství. Tržní ceny, úrokové sazby a ekonomické podmínky se mohou měnit; investice jsou spojeny s rizikem ztráty. Informace odpovídají podkladům dostupným v době zveřejnění a mohou se změnit. Důležité informace si nezávisle ověřte a v případě potřeby se obraťte na kvalifikovaného odborníka. Zmínka o aktivu, společnosti nebo službě nepředstavuje doporučení.