Két kritikus sebezhetőség fenyegeti az internetes szektor szervereit, ami azonnali rendszervédelmi intézkedéseket követel meg az üzemeltetőktől. A PHP programozási nyelvben felfedezett hibák a weboldalak jelentős részét teszik sebezhetővé a jogosulatlan távoli kódfuttatással szemben.
Aknák a webes infrastruktúra alapjaiban
A feltárt hiányosságok a CVSS veszélyességi skálán 10-ből 9,2-es értékelést kaptak. A sérülékenységek közvetlen utat nyithatnak a támadóknak a webszerverek fájlrendszeréhez és adatbázisaihoz, így akár teljes ellenőrzést is szerezhetnek az érintett rendszerek felett. A probléma súlyát növeli, hogy a sérülékeny kódmódosítások több mint egy évtizede jelen vannak a nyelvben, és a PHP 5.4-es verziójáig visszamenőleg minden kiadást érintenek.
A PHP a dinamikus tartalmakat kiszolgáló weboldalak döntő többségének alapja, beleértve olyan tartalomkezelő rendszereket, mint a WordPress, a Drupal vagy a Joomla. Becslések szerint a kiszolgálóoldali programnyelvet használó webhelyek 70 százaléka épül erre a technológiára, ami globális szinten több millió szervert jelent.
Nemzetközi hatósági figyelmeztetések
Kiberbiztonsági szervezetek világszerte arra szólították fel az adminisztrátorokat, hogy haladéktalanul telepítsék a kiadott javításokat. Azokban az esetekben, ahol a frissítés azonnal nem megoldható, a szakértők a weboldalak ideiglenes leállítását javasolják az illetéktelen behatolások megelőzése érdekében. Több európai kormányzati portál és szolgáltató megelőző jelleggel lekapcsolta rendszereit a nyilvános hálózatról.
A védelmi rendszereket fejlesztő cégek szerint a hibák kihasználására tett kísérletek már megjelentek a hálózati forgalomban. Bár a központi védelmi tűzfalak átmeneti védelmet nyújtanak, a végleges megoldást kizárólag a hivatalos frissítési csomagok telepítése jelenti.
Kiknek sürgős a cselekvés?
A webhelyek tulajdonosainak és a tárhelyszolgáltatóknak haladéktalanul ellenőrizniük kell a szerver környezetet. A legsürgősebb teendők a következők:
- A szervereken futó PHP verziók azonnali azonosítása és leltározása.
- A hivatalosan kiadott biztonsági javítások telepítése a támogatott verziókra.
- A régi, már nem támogatott PHP kiadások elszigetelése vagy frissítése a legújabb kiadásra