PHP Foundation har erkendt, at problemer med beslutningsprocessen og begrænsede ressourcer forsinkede en PHP-sikkerhedsrettelse til en sårbarhed, der først blev opdaget i 2024. Da nødrettelser til to relaterede kritiske sårbarheder blev frigivet onsdag, tog myndigheder og andre organisationer websites offline som en sikkerhedsforanstaltning.

Vigtigste pointer

  • Foundation beskrev den forsinkede reaktion som et strukturelt svigt, der involverede sikkerhedsprocessen og ressourcerne.
  • Sårbarhederne kunne gøre det muligt for uautentificerede angribere at udføre kode på berørte servere.
  • Kryptoorganisationer gennemgik deres eksponering, mens Coinbase og BitGo oplyste, at ingen af deres systemer var berørt.

Indholdsfortegnelse

PHP-sikkerhedsrettelse gik i stå på grund af kompatibilitetsproblemer og bemanding

Foundationens redegørelse sætter fokus på, hvordan en kendt teknisk bekymring forblev uløst i flere måneder. Udviklere opdagede tegn på sårbarheden i 2024, men havde svært ved at finde en løsning, der ikke ville forstyrre det omfattende softwareøkosystem, som er bygget på PHP, et sprog, der bruges bredt til websites og webapplikationer.

På det tidspunkt havde udviklerne ikke fastlagt en metode til fjernudførelse af kode. Den lille gruppe med den nødvendige viden om PHP's motor havde også andre ansvarsområder, hvilket ifølge foundationen betød, at arbejdet med en rettelse gentagne gange gik i stå og blev genoptaget.

Foundationen beskrev forsinkelsen som et »strukturelt svigt«, der skyldtes både sikkerhedsteamets beslutningsproces og utilstrækkelige ressourcer.

Problemet blev en topprioritet inden for sikkerhed, efter at sikkerhedsfirmaet Calif og OpenAI uafhængigt af hinanden rapporterede det samme underliggende problem den 11. august. Calif demonstrerede ubetinget fjernudførelse af kode.

Sikkerhedsforanstaltninger førte til nedlukninger af offentlige tjenester

Nødudgivelserne førte til forstyrrelser i flere lande, da operatører afbrød tjenesterne, mens de forberedte opdateringer. Nederlandene lukkede sin digitale identitetstjeneste, og landets National Cyber Security Center tog sit eget website offline.

Finlands statslige IT-leverandør Valtori afbrød offentlige webtjenester, mens det franske indenrigsministerium midlertidigt tog præfekturernes websites ud af drift. Tysklands føderale IT-leverandør ITZBund deaktiverede også flere websites.

Australiens Signals Directorate oplyste, at cyber.gov.au var blandt de offentlige websites, der var berørt af PHP-problemet. Japans premierminister Sanae Takaichi opfordrede operatørerne til at forberede sig på hurtigt at installere rettelser og sagde, at en midlertidig suspendering af websitefunktioner kunne reducere risikoen, hvis øjeblikkelige opdateringer ikke var mulige.

Wikimedia Foundation tog også understøttende tjenester offline, herunder Toolforge og Cloud VPS, hvilket påvirkede visse Wikipedia-funktioner onsdag.

Kryptovirksomheder vurderer mulig eksponering

Blockchain-sikkerhedsfirmaet SlowMist oplyste, at dets MistEye-tjeneste fandt direkte PHP-fingeraftryk på 793 af de 1.488 domæner i kryptoindustrien, som blev undersøgt. Firmaet opfordrede børser, DeFi-platforme og udbydere af tegnebøger til at gennemgå deres eksponering og opgradere. Resultaterne påviste brug af PHP, men bekræftede ikke, at disse domæner var sårbare.

Intersect, medlemsorganisationen, der støtter Cardanos udvikling og styring, lukkede midlertidigt sit Members Area, mens den vurderede mulig eksponering.

Coinbases sikkerhedschef Jeff Lunglhofer sagde, at virksomheden ikke fandt tegn på eksponerede PHP-instanser, og at den også var i gang med at undersøge forholdene hos tredjepartsleverandører. BitGo oplyste separat, at deres platform ikke var berørt.

Status for udnyttelse er ikke det samme som påvist risiko

Trods den påviste risiko for fjernudførelse af kode oplyste PHP's sikkerhedsteam, at det ikke havde identificeret nogen funktionelle exploits på tidspunktet for den offentlige offentliggørelse.

OpenAI udgav en Codex-færdighed via GitHub, som skal hjælpe operatører med at kontrollere, om PHP-versioner potentielt er sårbare, og identificere relevante opdateringer.

Konklusion

Nødrettelserne afhjælper de umiddelbare sårbarheder, mens foundationens indrømmelse fremhæver svigt i den proces, der forsinkede dem. De rapporterede nedlukninger var sikkerhedsforanstaltninger og ikke tegn på, at de berørte organisationer var blevet kompromitteret.

Læs flere nyheder

Flere nyheder fra FinanceVelix

Ansvarsfraskrivelse

Denne artikel fra FinanceVelix indeholder generelle oplysninger og udgør ikke personlig finansiel, investeringsmæssig, juridisk eller skattemæssig rådgivning. Markedspriser, renter og økonomiske forhold kan ændre sig; investeringer indebærer risiko for tab. Oplysningerne afspejler det tilgængelige materiale på udgivelsestidspunktet og kan ændre sig. Kontrollér vigtige oplysninger uafhængigt, og rådfør dig med en kvalificeret fagperson efter behov. Omtale af et aktiv, en virksomhed eller en tjeneste er ikke en anbefaling.