Wady PHP skłaniają do ostrożnych wyłączeń rządowych stron internetowych na całym świecie

Rządowe strony internetowe oraz inne publiczne usługi online zostały wyłączone w kilku krajach 21 i 22 października w odpowiedzi na dwie krytyczne luki w zabezpieczeniach w PHP, języku programowania wykorzystywanym do działania wielu stron internetowych. Przerwy miały wpływ na dostęp do informacji publicznych oraz części usług online niektórych organizacji, podczas gdy zespoły techniczne pracowały nad aktualizacjami zabezpieczeń.

Wyłączenia były w dużej mierze opisane jako środki ostrożnościowe. Niedostępna strona internetowa w tym incydencie nie jest sama w sobie dowodem na to, że hakerzy naruszyli jej systemy. Niektórzy operatorzy wyraźnie stwierdzili, że nie znaleźli żadnego wykorzystania luk ani że naruszenie danych nie było przyczyną przerwy.

Usługi publiczne i inne strony internetowe wyłączone

Raport Reutersa z 22 października dokumentował zapobiegawcze wyłączenia stron internetowych przez federalnego dostawcę usług IT w Niemczech, ITZBund, oraz tymczasowe wyłączenia stron prefectur we Francji. Niemieckie ministerstwo cyfrowe poinformowało, że nie znane są żadne incydenty związane z bezpieczeństwem. W Finlandii państwowe centrum IT Valtori wyłączyło publiczne usługi internetowe rządu jako środki ostrożnościowe i stwierdziło, że nie zidentyfikowało prób wykorzystania luk.

Ten sam raport opisał częściowe wstrzymania usług online w japońskich agencjach publicznych oraz kilku firmach finansowych i transportowych. Były to wstrzymania określonych usług internetowych, a nie potwierdzenie, że każda funkcja tych organizacji została wstrzymana. Reuters również podał, że Internet Archive wrócił online po awaryjnej konserwacji i łatkach bezpieczeństwa. Czytelnicy mogą śledzić tę usługę osobno na stronie Internet Archive SID; jego powrót nie oznacza, że każda dotknięta strona internetowa została ponownie otwarta.

Niezależna relacja The Guardian donosiła o wyłączeniach rządowych stron internetowych w kilku krajach europejskich, w tym stron związanych z holenderskim parlamentem i krajowym centrum cyberbezpieczeństwa. Poinformowano również, że Fundacja Wikimedia wyłączyła kilka systemów, dopóki nie zostaną one załatane. Jest to stwierdzenie dotyczące wybranych systemów, a nie potwierdzone globalne wyłączenie całej usługi Wikipedii.

Dostępne poprawki, ale przywrócenie pozostaje specyficzne dla strony

BBC donosiła, że poprawka została wydana w środę po południu i że wiele agencji cyberbezpieczeństwa wezwało organizacje, które nie mogły jej szybko zastosować, do rozważenia wyłączenia swoich stron. W swoim raporcie rozróżniono również potwierdzone ostrożne wyłączenia od stron internetowych, które były niedostępne, a których operatorzy jeszcze nie potwierdzili związku z PHP. To rozróżnienie ma znaczenie przy ocenie, jak szeroko incydent wpłynął na dostęp online.

Oficjalne doradztwo bezpieczeństwa CERT-EU identyfikuje dwie luki, które mogą pozwolić nieautoryzowanemu atakującemu na wykonanie kodu na dotkniętym systemie. Zawiera poprawki dla wspieranych gałęzi wydań PHP i zaleca rozważenie izolacji od publicznych sieci, gdy natychmiastowe łatanie nie jest możliwe. Ogłoszenia o wydaniach projektu PHP potwierdzają, że aktualizacje bezpieczeństwa wydano 21 października. Te ogłoszenia potwierdzają dostępność poprawek, a nie zakończenie prac naprawczych każdego operatora.

Raporty przeglądane w tym artykule nie podają jednej godziny przywrócenia dla wszystkich dotkniętych stron internetowych. Decyzje o ponownym otwarciu zależą od poszczególnych operatorów stosujących aktualizacje i sprawdzających swoje systemy. Nie ustalono tutaj zweryfikowanej liczby skompromitowanych organizacji ani dotkniętych użytkowników, a raport ten nie traktuje szacunków popularności PHP jako liczby stron internetowych, które zostały wyłączone.

Dla czytelników śledzących przerwy, widok na żywo Status Is Down oraz archiwum wiadomości zapewniają miejsca do śledzenia raportów o usługach i niezależnie pozyskanej relacji o przerwach. Właściciele stron internetowych, którzy chcą skorzystać z usług monitorowania SID, mogą porównać plany i zapisać się. Monitorowanie dostępności jest oddzielone od zastosowania poprawki bezpieczeństwa: przywrócona publiczna strona i załatany podsystem to różne roszczenia, a każde wymaga własnych dowodów.

Zdjęcie: ID 47491094 © Maciek905 | Dreamstime.com