Fundacja PHP przyznała, że problemy z podejmowaniem decyzji i ograniczone zasoby opóźniły poprawkę bezpieczeństwa PHP dotyczącą luki wykrytej po raz pierwszy w 2024 roku. W środę, po wydaniu awaryjnych poprawek dla dwóch powiązanych krytycznych luk, agencje rządowe i inne organizacje prewencyjnie wyłączyły strony internetowe.

Najważniejsze informacje

  • Fundacja określiła opóźnioną reakcję jako problem strukturalny dotyczący procesu bezpieczeństwa i zasobów.
  • Luki mogły umożliwić nieuwierzytelnionym atakującym wykonanie kodu na podatnych serwerach.
  • Organizacje z branży kryptowalutowej oceniały swoje narażenie, a Coinbase i BitGo poinformowały, że ich systemy nie zostały dotknięte problemem.

Spis treści

Prace nad poprawką bezpieczeństwa PHP utknęły z powodu zgodności i braków kadrowych

Relacja fundacji skupia uwagę na tym, jak znany problem techniczny pozostawał nierozwiązany przez wiele miesięcy. Deweloperzy zauważyli oznaki luki w 2024 roku, ale mieli trudności ze znalezieniem rozwiązania, które nie zakłóciłoby rozbudowanego ekosystemu oprogramowania opartego na PHP — języku powszechnie wykorzystywanym do tworzenia stron i aplikacji internetowych.

Na tym etapie deweloperzy nie ustalili jeszcze sposobu na zdalne wykonanie kodu. Niewielka grupa osób dysponujących niezbędną wiedzą na temat silnika PHP miała również inne obowiązki, przez co prace nad poprawką były wielokrotnie wstrzymywane i wznawiane — poinformowała fundacja.

Fundacja określiła opóźnienie jako „problem strukturalny”, wynikający zarówno z procesu podejmowania decyzji w zespole ds. bezpieczeństwa, jak i z niewystarczających zasobów.

Problem uzyskał najwyższy priorytet w zakresie bezpieczeństwa po tym, jak firma zajmująca się bezpieczeństwem Calif i OpenAI niezależnie zgłosiły tę samą podstawową lukę 11 sierpnia. Calif zademonstrowała możliwość zdalnego wykonania kodu bez żadnych warunków wstępnych.

Prewencyjne wyłączenia obejmują usługi publiczne

Wydanie awaryjnych aktualizacji spowodowało zakłócenia w wielu krajach, ponieważ operatorzy odłączali usługi na czas przygotowań do aktualizacji. Holandia wyłączyła swoją usługę tożsamości cyfrowej, a jej Krajowe Centrum Cyberbezpieczeństwa również wyłączyło własną stronę internetową.

Fiński państwowy dostawca usług IT Valtori odłączył rządowe publiczne serwisy internetowe, a francuskie Ministerstwo Spraw Wewnętrznych tymczasowo wyłączyło strony prefektur. Niemiecki federalny dostawca usług IT ITZBund również wyłączył kilka stron internetowych.

Australijska Dyrekcja Sygnałów poinformowała, że cyber.gov.au znalazła się wśród rządowych stron dotkniętych problemem PHP. Premier Japonii Sanae Takaichi wezwała operatorów do przygotowania się na szybkie instalowanie poprawek i stwierdziła, że tymczasowe zawieszenie funkcji stron internetowych może ograniczyć ryzyko, gdy natychmiastowa aktualizacja nie jest możliwa.

Fundacja Wikimedia również wyłączyła usługi wspierające, w tym Toolforge i Cloud VPS, co w środę wpłynęło na działanie niektórych funkcji Wikipedii.

Firmy kryptowalutowe oceniają potencjalne narażenie

Firma zajmująca się bezpieczeństwem blockchainów SlowMist poinformowała, że jej usługa MistEye wykryła bezpośrednie oznaki użycia PHP w 793 z 1 488 domen z branży kryptowalutowej objętych analizą. Wezwała giełdy, platformy DeFi i dostawców portfeli do oceny narażenia i aktualizacji oprogramowania. Ustalenia wskazywały na użycie PHP, a nie potwierdzały podatności tych domen.

Intersect, organizacja członkowska wspierająca rozwój i zarządzanie Cardano, tymczasowo zamknęła swoją strefę członkowską podczas oceny potencjalnego narażenia.

Jeff Lunglhofer, dyrektor ds. bezpieczeństwa w Coinbase, powiedział, że firma nie znalazła dowodów na obecność narażonych instancji PHP i sprawdzała również sytuację u zewnętrznych dostawców. BitGo osobno poinformowało, że problem nie wpłynął na jego platformę.

Status exploitów należy odróżnić od wykazanego ryzyka

Mimo wykazanego ryzyka zdalnego wykonania kodu zespół ds. bezpieczeństwa PHP poinformował, że w chwili publicznego ujawnienia nie zidentyfikował żadnych działających exploitów.

OpenAI udostępniło za pośrednictwem GitHub narzędzie Codex, które ma pomóc operatorom sprawdzać, czy korzystają z potencjalnie podatnych wersji PHP, oraz identyfikować odpowiednie aktualizacje.

Podsumowanie

Awaryjne poprawki usuwają bezpośrednie luki, a przyznanie się fundacji do problemów zwraca uwagę na niedociągnięcia w procesie, które opóźniły ich wydanie. Zgłoszone wyłączenia były środkami zapobiegawczymi, a nie dowodem na przejęcie kontroli nad systemami dotkniętych organizacji.

Więcej wiadomości

Więcej wiadomości FinanceVelix

Zastrzeżenie

Ten artykuł FinanceVelix zawiera ogólne informacje i nie stanowi spersonalizowanej porady finansowej, inwestycyjnej, prawnej ani podatkowej. Ceny rynkowe, stopy procentowe i warunki gospodarcze mogą się zmieniać; inwestycje wiążą się z ryzykiem straty. Podane fakty odzwierciedlają informacje dostępne w chwili publikacji i mogą ulec zmianie. Ważne informacje należy niezależnie zweryfikować, a w razie potrzeby skonsultować się z wykwalifikowanym specjalistą. Wzmianka o aktywach, firmie lub usłudze nie stanowi rekomendacji.