Luki w PHP uderzają w serwisy internetowe. Problem objął też polskie media

Aktualizacje PHP po wykryciu dwóch krytycznych podatności

W środę po południu zespół rozwijający PHP poinformował o udostępnieniu aktualizacji, które usuwają dwie krytyczne luki w zabezpieczeniach. Administratorom zalecono jak najszybsze wdrożenie poprawek. Jak wynika z tekstu źródłowego, nie były to luki nowe, ponieważ w środowisku programistycznym mówiono o nich już od sierpnia. Serwis Sekurak.pl informował w środę, że podatności nie bazują na samym kodzie PHP, lecz na lukach w jego silniku.

Problemy objęły również polskie media i serwisy internetowe

W Polsce na kilka godzin swój serwis wyłączył Niebezpiecznik.pl, który zajmuje się między innymi bezpieczeństwem w sieci. W środę przez godzinę, od 10.49 do 11.51 niedostępne były portale internetowe Telewizji Polskiej. Spółka przekazała wyjaśnienia w tej sprawie w odpowiedzi dla redakcji. Przerwa miała związek z działaniami podejmowanymi po ogłoszeniu podatności.

"Zdarzenie to miało miejsce podczas prac związanych z eliminacją ogłoszonych dzień wcześniej podatności, obejmujących zmiany polityk zapory sieciowej oraz restarty usług portalu. Ze względu na dużą i skomplikowaną strukturę serwisu, wystąpiła przerwa w dostępności części usług. Problem ten jest szerszy i dotyczył szeregu serwisów internetowych, nie tylko serwisów Telewizji Polskiej" – przekazało biuro prasowe spółki.

Ekspert CERT Orange wskazuje skalę zagrożenia

Problem nie dotyczy wyłącznie blogów ani stron zbudowanych w WordPressie czy Joomli. Robert Zarzycki z CERT Orange zwrócił uwagę, że na PHP opiera się około 70 procent serwisów internetowych na świecie, także w Polsce. W jego ocenie pokazuje to skalę zagrożenia dla wydawców i administratorów. Dodał, że jeśli redakcja korzysta z PHP w swoich systemach, to ryzyko jest bardzo wysokie.

– Na PHP oparte jest jakieś 70 proc. serwisów internetowych na świecie. Również w Polsce. To obrazuje skalę problemu – tłumaczy Robert Zarzycki, który w CERT Orange kieruje zespołem odpowiedzialnym za wykrywanie luk w oprogramowaniu i ich zabezpieczanie.

– Jeżeli redakcja używa PHP w swoich systemach, to jest maksymalnie zagrożona. Taka podatność daje atakującemu możliwość uruchomienia dowolnego konta i dowolnego kodu na serwerze – ostrzega Zarzycki i wylicza: – Atakujący mogą edytować jakiś plik z serwera, hasło użytkownika do bazy danych albo mogą próbować w jakiś inny sposób podnieść swoje uprawnienia na serwerze, mogą wgrać plik inną stronę internetową, podmienić strony, wykradać hasła. To tylko wyobraźnia ogranicza.

Robert Zarzycki zaznaczył, że CERT Orange nie odnotował dotąd w Polsce przypadku przejęcia serwera w związku z tymi lukami. Dodał również, że nie spotkał się wcześniej z tak gwałtowną reakcją międzynarodową po ujawnieniu podatności w oprogramowaniu. W dalszej części wyjaśnił też, jak klasyfikowane są takie zagrożenia. Wskazał przy tym, że chodzi o jedną z najpoważniejszych kategorii podatności.

– Nie było do tej pory nic poważniejszego. Podatności dzielimy zwykle na możliwość wykorzystania ich przez użytkownika zalogowanego albo niezalogowanego. Klasyfikujemy je na podstawie tego, jak oprogramowanie jest popularne. I na podstawie tego, co taki atakujący może zrobić – wyjaśnia Zarzycki. – Niezalogowany atakujący może dodać nieautoryzowany kod (niepożądany dodatek do treści stron czy aktywności serwera – przyp. red.), czyli to najpoważniejsza podatność, jaka istnieje. PHP to najbardziej popularne oprogramowanie do tworzenia stron internetowych – wskazuje.