PHP Foundation a recunoscut că problemele de luare a deciziilor și resursele limitate au întârziat remedierea unei vulnerabilități PHP detectate pentru prima dată în 2024. După lansarea miercuri a unor patch-uri de urgență pentru două vulnerabilități critice asociate, agenții guvernamentale și alte organizații și-au scos site-urile web din funcțiune, ca măsură de precauție.

Concluzii principale

  • Fundația a descris răspunsul întârziat drept un eșec structural care a implicat procesul și resursele sale de securitate.
  • Vulnerabilitățile ar putea permite atacatorilor neautentificați să execute cod pe serverele afectate.
  • Organizațiile din domeniul cripto și-au evaluat expunerea, în timp ce Coinbase și BitGo au raportat că nu au sisteme afectate.

Cuprins

Remedierea de securitate PHP, blocată de probleme de compatibilitate și personal

Relatarea fundației pune accentul pe modul în care o problemă tehnică cunoscută a rămas nerezolvată timp de luni de zile. Dezvoltatorii au identificat indicii ale vulnerabilității în 2024, dar au avut dificultăți în găsirea unei soluții care să nu perturbe vastul ecosistem software construit pe PHP, un limbaj utilizat pe scară largă pentru site-uri web și aplicații web.

În acea etapă, dezvoltatorii nu stabiliseră o cale de executare a codului de la distanță. Grupul restrâns care deținea cunoștințele necesare despre motorul PHP avea și alte responsabilități, astfel că lucrul la o remediere a fost oprit și reluat în mod repetat, a declarat fundația.

Fundația a descris întârzierea drept un „eșec structural”, cauzat atât de procesul decizional al echipei de securitate, cât și de resurse insuficiente.

Problema a devenit o prioritate majoră de securitate după ce firma de securitate Calif și OpenAI au raportat independent aceeași problemă de fond pe 11 august. Calif a demonstrat executarea necondiționată a codului de la distanță.

Închiderile preventive se extind la serviciile publice

Lansările de urgență au provocat întreruperi în mai multe țări, întrucât operatorii au deconectat serviciile în timp ce pregăteau actualizările. Țările de Jos și-au închis serviciul de identitate digitală, iar Centrul Național pentru Securitate Cibernetică și-a scos propriul site web din funcțiune.

Furnizorul IT de stat al Finlandei, Valtori, a deconectat serviciile web publice guvernamentale, în timp ce Ministerul de Interne al Franței a suspendat temporar site-urile prefecturilor. Furnizorul IT federal al Germaniei, ITZBund, a dezactivat, de asemenea, mai multe site-uri web.

Directoratul de Semnale al Australiei a declarat că cyber.gov.au s-a numărat printre site-urile guvernamentale afectate de problema PHP. Prim-ministrul Japoniei, Sanae Takaichi, le-a cerut operatorilor să se pregătească să instaleze rapid patch-urile și a spus că suspendarea temporară a funcțiilor site-urilor web ar putea reduce riscul atunci când actualizările imediate nu erau posibile.

Wikimedia Foundation a scos, de asemenea, din funcțiune servicii auxiliare, inclusiv Toolforge și Cloud VPS, afectând miercuri unele funcții Wikipedia.

Firmele cripto evaluează posibila expunere

Firma de securitate blockchain SlowMist a declarat că serviciul său MistEye a identificat amprente PHP directe pe 793 dintre cele 1.488 de domenii din industria cripto evaluate. Compania a îndemnat bursele, platformele DeFi și furnizorii de portofele să își verifice expunerea și să facă upgrade. Constatările au identificat utilizarea PHP, fără a confirma că domeniile respective erau vulnerabile.

Intersect, organizația de membri care sprijină dezvoltarea și guvernanța Cardano, și-a închis temporar Members Area în timp ce evalua posibila expunere.

Jeff Lunglhofer, directorul pentru securitate al Coinbase, a declarat că firma nu a găsit dovezi privind instanțe PHP expuse și că verifica, de asemenea, situația cu furnizorii terți. BitGo a declarat separat că platforma sa nu a fost afectată.

Statutul exploatării rămâne distinct de riscul demonstrat

În pofida riscului demonstrat de executare a codului de la distanță, echipa de securitate PHP a declarat că, la momentul dezvăluirii publice, nu identificase niciun exploit funcțional.

OpenAI a lansat prin GitHub o abilitate Codex pentru a-i ajuta pe operatori să verifice dacă folosesc versiuni PHP potențial vulnerabile și să identifice actualizările aplicabile.

Concluzie

Patch-urile de urgență remediază vulnerabilitățile imediate, în timp ce recunoașterea fundației evidențiază deficiențele procesului care au întârziat lansarea acestora. Închiderile raportate au fost măsuri de precauție, nu dovezi că organizațiile afectate ar fi fost compromise.

Citește mai multe știri

Mai multe știri FinanceVelix

Declinarea responsabilității

Acest articol FinanceVelix oferă informații generale, nu consultanță financiară, de investiții, juridică sau fiscală personalizată. Prețurile de piață, ratele dobânzilor și condițiile economice se pot schimba; investițiile implică riscul unor pierderi. Informațiile reflectă materialele disponibile la momentul publicării și se pot modifica. Verificați independent informațiile importante și consultați un specialist calificat, atunci când este necesar. Menționarea unui activ, a unei companii sau a unui serviciu nu constituie o recomandare.