Nadácia PHP priznala, že problémy s rozhodovaním a obmedzené zdroje spomalili bezpečnostnú opravu PHP pre zraniteľnosť prvýkrát zistenú v roku 2024. V stredu, po vydaní núdzových záplat pre dve súvisiace kritické zraniteľnosti, vládne agentúry a ďalšie organizácie preventívne odstavili webové stránky.

Kľúčové zistenia

  • Nadácia označila oneskorenú reakciu za systémové zlyhanie súvisiace s bezpečnostnými procesmi a zdrojmi.
  • Zraniteľnosti by mohli neautentifikovaným útočníkom umožniť spúšťať kód na zasiahnutých serveroch.
  • Kryptomenové organizácie preverovali svoju expozíciu, zatiaľ čo Coinbase a BitGo uviedli, že nemajú zasiahnuté systémy.

Obsah

Bezpečnostnú opravu PHP zabrzdili otázky kompatibility a nedostatok personálu

Podľa vyjadrenia nadácie zostala známa technická obava celé mesiace nevyriešená. Vývojári zaznamenali známky zraniteľnosti v roku 2024, no mali problém nájsť nápravu, ktorá by nenarušila rozsiahly softvérový ekosystém postavený na PHP, jazyku široko používanom pri tvorbe webových stránok a webových aplikácií.

V tom čase vývojári ešte neurčili spôsob, ako dosiahnuť vzdialené spustenie kódu. Malá skupina ľudí so znalosťami potrebnými na prácu s jadrom PHP mala aj ďalšie povinnosti, takže práce na oprave sa opakovane zastavovali a znovu rozbiehali, uviedla nadácia.

Oneskorenie označila za „systémové zlyhanie“, ktoré spôsobilo rozhodovanie bezpečnostného tímu aj nedostatočné zdroje.

Problém sa stal najvyššou bezpečnostnou prioritou po tom, ako bezpečnostná spoločnosť Calif a OpenAI nezávisle nahlásili ten istý základný problém 11. augusta. Calif predviedla nepodmienené vzdialené spustenie kódu.

Preventívne odstávky zasiahli verejné služby

Núdzové vydania vyvolali výpadky vo viacerých krajinách, keď prevádzkovatelia odpojili služby počas prípravy aktualizácií. Holandsko odstavilo svoju službu digitálnej identity a vlastnú webovú stránku odpojilo aj jeho Národné centrum kybernetickej bezpečnosti.

Fínsky štátny poskytovateľ IT služieb Valtori odpojil verejné webové služby vlády, zatiaľ čo francúzske ministerstvo vnútra dočasne vyradilo z prevádzky webové stránky prefektúr. Nemecký federálny poskytovateľ IT služieb ITZBund takisto deaktivoval niekoľko webových stránok.

Austrálske Riaditeľstvo signálov uviedlo, že medzi vládnymi webovými stránkami zasiahnutými problémom PHP bol aj cyber.gov.au. Japonská premiérka Sanae Takaichi vyzvala prevádzkovateľov, aby sa pripravili na rýchlu inštaláciu opráv, a uviedla, že dočasné pozastavenie funkcií webových stránok môže znížiť riziko, ak okamžitá aktualizácia nie je možná.

Nadácia Wikimedia takisto odstavila podporné služby vrátane Toolforge a Cloud VPS, čo v stredu ovplyvnilo niektoré funkcie Wikipédie.

Kryptomenové spoločnosti posudzujú možnú expozíciu

Bezpečnostná spoločnosť zameraná na blockchain SlowMist uviedla, že jej služba MistEye zistila priame odtlačky PHP na 793 z 1 488 posudzovaných domén kryptomenového odvetvia. Vyzvala burzy, platformy DeFi a poskytovateľov peňaženiek, aby preverili svoju expozíciu a vykonali aktualizáciu. Zistenia potvrdzovali používanie PHP, nie však zraniteľnosť týchto domén.

Intersect, členská organizácia podporujúca vývoj a správu projektu Cardano, dočasne uzavrela svoju členskú zónu, kým posudzovala možnú expozíciu.

Jeff Lunglhofer, bezpečnostný riaditeľ Coinbase, uviedol, že spoločnosť nenašla dôkazy o vystavených inštanciách PHP a kontroluje aj externých dodávateľov. BitGo osobitne uviedla, že jej platforma nebola zasiahnutá.

Stav zneužitia zraniteľností sa líši od preukázaného rizika

Napriek preukázanému riziku vzdialeného spustenia kódu bezpečnostný tím PHP uviedol, že v čase verejného zverejnenia nezistil žiadne funkčné exploity.

OpenAI prostredníctvom GitHubu vydala nástroj Codex skill, ktorý má prevádzkovateľom pomôcť skontrolovať potenciálne zraniteľné verzie PHP a zistiť, ktoré aktualizácie sa na ne vzťahujú.

Záver

Núdzové záplaty riešia bezprostredné zraniteľnosti, zatiaľ čo priznanie nadácie poukazuje na zlyhania v procese, ktoré ich oneskorili. Hlásené odstávky boli preventívnymi opatreniami, nie dôkazom, že zasiahnuté organizácie boli napadnuté.

Ďalšie správy

Ďalšie správy FinanceVelix

Vylúčenie zodpovednosti

Tento článok FinanceVelix poskytuje všeobecné informácie, nie personalizované finančné, investičné, právne ani daňové poradenstvo. Trhové ceny, úrokové sadzby a ekonomické podmienky sa môžu meniť; investovanie je spojené s rizikom straty. Fakty vychádzajú z materiálov dostupných v čase zverejnenia a môžu sa zmeniť. Dôležité informácie si overte nezávisle a v prípade potreby sa obráťte na kvalifikovaného odborníka. Zmienka o aktíve, spoločnosti alebo službe nepredstavuje odporúčanie.