PHP Foundation har medgett att problem i beslutsfattandet och begränsade resurser försenade en PHP-säkerhetsfix för en brist som först upptäcktes 2024. När nödpatchar för två relaterade kritiska sårbarheter släpptes på onsdagen tog myndigheter och andra organisationer webbplatser offline som en försiktighetsåtgärd.

Viktiga punkter

  • Stiftelsen kallade den försenade insatsen ett strukturellt misslyckande som berörde säkerhetsprocessen och resurserna.
  • Sårbarheterna skulle kunna göra det möjligt för obehöriga angripare att köra kod på berörda servrar.
  • Kryptoorganisationer granskade sin exponering, medan Coinbase och BitGo uppgav att inga av deras system var berörda.

Innehållsförteckning

PHP-säkerhetsfixen försenades på grund av kompatibilitet och bemanning

Stiftelsens redogörelse riktar fokus mot hur ett känt tekniskt problem förblev olöst i flera månader. Utvecklare upptäckte tecken på sårbarheten 2024, men hade svårt att hitta en lösning som inte skulle störa det omfattande mjukvaruekosystem som byggts kring PHP, ett språk som används i stor utsträckning för webbplatser och webbapplikationer.

I det skedet hade utvecklarna inte fastställt någon väg till fjärrkörning av kod. Den lilla grupp som hade nödvändig kunskap om PHP:s motor hade även andra ansvarsområden, vilket enligt stiftelsen gjorde att arbetet med en lösning upprepade gånger avbröts och återupptogs.

Stiftelsen beskrev förseningen som ett ”strukturellt misslyckande” orsakat av både säkerhetsteamets beslutsprocess och otillräckliga resurser.

Problemet blev högsta säkerhetsprioritet efter att säkerhetsföretaget Calif och OpenAI oberoende av varandra rapporterade samma underliggande problem den 11 augusti. Calif demonstrerade ovillkorlig fjärrkörning av kod.

Förebyggande nedstängningar spreds till offentliga tjänster

Nödutgåvorna ledde till störningar i flera länder när operatörer kopplade bort tjänster medan de förberedde uppdateringar. Nederländerna stängde sin digitala identitetstjänst, och landets nationella cybersäkerhetscenter tog sin egen webbplats offline.

Finlands statliga IT-leverantör Valtori kopplade bort offentliga webbtjänster för myndigheter, medan Frankrikes inrikesministerium tillfälligt tog prefekturernas webbplatser ur drift. Tysklands federala IT-leverantör ITZBund inaktiverade också flera webbplatser.

Australiens Signals Directorate uppgav att cyber.gov.au var en av de myndighetswebbplatser som påverkats av PHP-problemet. Japans premiärminister Sanae Takaichi uppmanade operatörer att förbereda sig på att snabbt installera patchar och sade att tillfällig avstängning av webbplatsfunktioner kunde minska risken när omedelbara uppdateringar inte var möjliga.

Wikimedia Foundation tog också stödtjänster offline, däribland Toolforge och Cloud VPS, vilket påverkade vissa Wikipedia-funktioner på onsdagen.

Kryptoföretag bedömer potentiell exponering

Blockkedjesäkerhetsföretaget SlowMist uppgav att dess tjänst MistEye hittade direkta PHP-fingeravtryck på 793 av 1 488 bedömda domäner inom kryptoindustrin. Företaget uppmanade börser, DeFi-plattformar och plånboksleverantörer att granska sin exponering och uppgradera. Resultaten identifierade PHP-användning, men bekräftade inte att domänerna var sårbara.

Intersect, medlemsorganisationen som stöder Cardanos utveckling och styrning, stängde tillfälligt sitt Members Area medan den bedömde den potentiella exponeringen.

Coinbases säkerhetschef Jeff Lunglhofer sade att företaget inte hittat några tecken på exponerade PHP-instanser och även kontrollerade saken med tredjepartsleverantörer. BitGo uppgav separat att dess plattform inte påverkats.

Utnyttjandestatus är inte detsamma som påvisad risk

Trots den påvisade risken för fjärrkörning av kod uppgav PHP:s säkerhetsteam att det vid tidpunkten för offentliggörandet inte hade identifierat några fungerande exploateringar.

OpenAI släppte en Codex-färdighet via GitHub för att hjälpa operatörer att kontrollera om PHP-versioner potentiellt var sårbara och identifiera tillämpliga uppdateringar.

Slutsats

Nödpatcharna åtgärdar de omedelbara sårbarheterna, medan stiftelsens medgivande belyser brister i processen som försenade dem. De rapporterade nedstängningarna var förebyggande åtgärder, inte bevis för att de berörda organisationerna hade komprometterats.

Läs fler nyheter

Fler nyheter från FinanceVelix

Ansvarsfriskrivning

Denna artikel från FinanceVelix innehåller allmän information och utgör inte personlig finansiell, investeringsrelaterad, juridisk eller skattemässig rådgivning. Marknadspriser, räntor och ekonomiska förhållanden kan förändras; investeringar innebär risk för förlust. Uppgifterna återspeglar det material som fanns tillgängligt vid publiceringen och kan komma att ändras. Kontrollera viktig information självständigt och rådfråga vid behov en kvalificerad yrkesperson. Att en tillgång, ett företag eller en tjänst nämns innebär inte att den rekommenderas.