Urad vlade za informacijsko varnost (URSIV) je izdal nujno odredbo zaradi dveh kritičnih ranljivosti v programskem jeziku PHP. Ker PHP poganja velik del spletnih strani in aplikacij, od sistemov, kot je WordPress, do številnih poslovnih spletišč, težava zadeva veliko podjetij. Popravke je treba namestiti nemudoma.
Zakaj je ranljivost tako resna? Varnostna skupina PHP jo je ocenila z 9,2 od 10, kar jo uvršča med najhujše. Napadalcu namreč omogoča, da na spletnem strežniku na daljavo zažene poljubno kodo, in to brez gesla ali prijave.
Ogrožene so vse namestitve PHP, ki strežejo spletne zahteve, največje tveganje pa je po navedbah URSIV pri izvedbi Apache mod_php. Po oceni urada je izkoriščanje nepopravljenih sistemov verjetno, saj naj bi podrobnosti ranljivosti pricurljale v javnost še pred izdajo popravkov.
Kaj naj naredijo podjetja?
Najpomembnejše je, da PHP čim prej posodobijo na popravljene različice 8.2.35, 8.3.36, 8.4.27, 8.5.12 ali novejše oziroma namestijo posodobitve svojega ponudnika. Kdor uporablja starejše, nepodprte različice, naj jih nadgradi ali začasno izolira od javnega omrežja. URSIV poudarja, da je namestitev popravka edini popoln ukrep, vsi drugi koraki pa tveganje le zmanjšajo.
Za zavezance po Zakonu o informacijski varnosti so roki zelo kratki. Vse sisteme na PHP morajo popisati v 24 urah, popravke na sistemih, dostopnih prek interneta, namestiti v 48 urah, o izvedbi pa poročati pristojni skupini CSIRT v 72 urah.
Čeprav odredba zavezuje predvsem upravljavce kritične infrastrukture in državne organe, pa velja nasvet za vsakogar, ki ima spletno stran na PHP, naj posodobitev ne odlaša.
