PHP Foundation har erkjent at problemer med beslutningsprosesser og begrensede ressurser forsinket en PHP-sikkerhetsfiks for en sårbarhet som først ble oppdaget i 2024. Da nødoppdateringer for to relaterte, kritiske sårbarheter ble lansert onsdag, koblet offentlige etater og andre organisasjoner nettsteder fra nettet som et føre-var-tiltak.

Viktigste punkter

  • Stiftelsen omtalte den forsinkede responsen som en strukturell svikt knyttet til sikkerhetsprosessen og ressursene.
  • Sårbarhetene kan gjøre det mulig for angripere uten autentisering å kjøre kode på berørte servere.
  • Kryptoorganisasjoner undersøkte sin eksponering, mens Coinbase og BitGo rapporterte at ingen av systemene deres var berørt.

Innholdsfortegnelse

PHP-sikkerhetsfiks stanset opp på grunn av kompatibilitet og bemanning

Stiftelsens redegjørelse retter oppmerksomheten mot hvordan et kjent teknisk problem forble uløst i flere måneder. Utviklere oppdaget tegn på sårbarheten i 2024, men hadde problemer med å finne en løsning som ikke ville forstyrre det omfattende programvareøkosystemet som er bygget på PHP, et språk som er mye brukt til nettsteder og webapplikasjoner.

På det tidspunktet hadde utviklerne ikke fastslått noen vei til ekstern kjøring av kode. Den lille gruppen med nødvendig kunnskap om PHP-motoren hadde også andre oppgaver, noe som førte til at arbeidet med en fiks gjentatte ganger ble stanset og gjenopptatt, opplyste stiftelsen.

Den beskrev forsinkelsen som en «strukturell svikt» forårsaket både av beslutningsprosessen i sikkerhetsteamet og utilstrekkelige ressurser.

Problemet ble en høyeste sikkerhetsprioritet etter at sikkerhetsselskapet Calif og OpenAI uavhengig av hverandre rapporterte det samme underliggende problemet 11. august. Calif demonstrerte ubetinget ekstern kjøring av kode.

Føre-var-nedstengninger sprer seg til offentlige tjenester

Nødutgivelsene førte til forstyrrelser i flere land da tjenesteoperatører koblet tjenester fra nettet mens de forberedte oppdateringer. Nederland stengte sin digitale identitetstjeneste, og landets nasjonale senter for cybersikkerhet tok også sin egen nettside offline.

Finlands statlige IT-leverandør Valtori koblet offentlige nettjenester fra nettet, mens Frankrikes innenriksdepartement midlertidig tok prefekturenes nettsteder ut av drift. Tysklands føderale IT-leverandør ITZBund deaktiverte også flere nettsteder.

Australias Signals Directorate opplyste at cyber.gov.au var blant de offentlige nettstedene som var berørt av PHP-problemet. Japans statsminister Sanae Takaichi oppfordret operatører til å forberede seg på å installere oppdateringer raskt, og sa at midlertidig suspensjon av nettstedsfunksjoner kunne redusere risikoen når umiddelbare oppdateringer ikke var mulig.

Wikimedia Foundation tok også støttetjenester offline, blant annet Toolforge og Cloud VPS, noe som påvirket enkelte Wikipedia-funksjoner onsdag.

Kryptoselskaper vurderer potensiell eksponering

Blokkjede-sikkerhetsselskapet SlowMist opplyste at tjenesten MistEye fant direkte PHP-fingeravtrykk på 793 av 1 488 domener i kryptobransjen som ble undersøkt. Selskapet oppfordret børser, DeFi-plattformer og lommeboktilbydere til å undersøke eksponeringen sin og oppgradere. Funnene påviste bruk av PHP, men bekreftet ikke at domenene var sårbare.

Intersect, medlemsorganisasjonen som støtter Cardanos utvikling og styring, stengte midlertidig medlemsområdet sitt mens den undersøkte mulig eksponering.

Coinbases sikkerhetssjef Jeff Lunglhofer sa at selskapet ikke fant tegn til eksponerte PHP-installasjoner, og at det også undersøkte forholdene hos tredjepartsleverandører. BitGo opplyste separat at plattformen deres ikke var berørt.

Utnyttelsesstatus må skilles fra påvist risiko

Til tross for den påviste risikoen for ekstern kjøring av kode sa PHPs sikkerhetsteam at det ikke hadde identifisert noen funksjonelle utnyttelser da sårbarhetene ble offentliggjort.

OpenAI lanserte en Codex-ferdighet via GitHub for å hjelpe operatører med å kontrollere om PHP-versjoner kan være sårbare, og finne relevante oppdateringer.

Konklusjon

Nødoppdateringene håndterer de umiddelbare sårbarhetene, mens stiftelsens innrømmelse peker på svikt i prosessen som forsinket dem. De rapporterte nedstengningene var føre-var-tiltak, ikke bevis på at de berørte organisasjonene var blitt kompromittert.

Les flere nyheter

Flere nyheter fra FinanceVelix

Ansvarsfraskrivelse

Denne FinanceVelix-artikkelen gir generell informasjon, ikke personlig tilpasset finansiell, investeringsmessig, juridisk eller skattemessig rådgivning. Markedspriser, renter og økonomiske forhold kan endre seg; investeringer innebærer risiko for tap. Fakta gjenspeiler materialet som var tilgjengelig da artikkelen ble publisert, og kan endres. Kontroller viktig informasjon uavhengig, og rådfør deg med en kvalifisert fagperson ved behov. Omtale av en eiendel, et selskap eller en tjeneste innebærer ingen anbefaling.