Kritinis pavojus milijonams svetainių: dėl PHP spragų Europoje jau išjungiami valstybiniai tinklalapiai

Sekite TechNaujienos Google

Atnaujinta: PHP kūrėjai ruošia neeilinį saugumo atnaujinimą, kurį numatyta išleisti šiandien 17 valandą Lietuvos laiku. Abi spragos įvertintos 9,2 balo iš 10 pagal CVSS 4.0 skalę.

Nyderlanduose ir Suomijoje trečiadienį, spalio 21-ąją, prevenciškai išjungtos kai kurios valstybinių institucijų interneto svetainės. Priežastis – dvi itin pavojingos PHP programavimo kalbos spragos, dėl kurių skubius įspėjimus paskelbė Europos Sąjungos ir Jungtinės Karalystės kibernetinio saugumo institucijos.

Apie kritinį incidentą spalio 20 dieną oficialiai pranešė pati PHP saugumo komanda. Ji paragino PHP naudojančius administratorius iš anksto pasirengti atnaujinimui ir perspėjo, kad pataisos gali būti išleistos anksčiau, jei pažeidžiamumų detalės pasklis viešai arba atsiras įrodymų apie aktyvų išnaudojimą.

Pranešimo metu kūrėjai dar neatskleidė nei techninio spragų mechanizmo, nei visų paveiktų bei pataisytų versijų. Tai reiškia, kad tiksliai nustatyti konkrečios svetainės riziką vien iš viešo pranešimo dar nebuvo įmanoma.

Naujausi straipsniai

5 min. skaitymo • prieš 1 val

„Shopify“ skelbia naujus DI prekybos skaičius: parduotuvėms teks konkuruoti dėl algoritmų rekomendacijų

5 min. skaitymo • prieš 2 val

„Facebook“ leidžia vartotojams kalbėtis su algoritmu: ką tai keičia verslui ir turinio kūrėjams?

5 min. skaitymo • prieš 2 val

„Google Ads“ keičia biudžeto valdymą: reklamuotojai galės riboti antraeilių kanalų išlaidas

Visi naujausi straipsniai →

ES institucijų kibernetinio saugumo tarnyba CERT-EU paskelbė skubų perspėjimą ir nurodė, kad, remiantis paviešinta informacija, spragos gali sudaryti sąlygas vykdyti kodą serveryje nuotoliniu būdu.

Pranešime jos įvardijamos CVE-2026-109618 ir CVE-2026-109619 numeriais. Tačiau CERT-EU pati pažymėjo, kad išsamių techninių duomenų dar nėra, o teiginys apie poveikį visoms PHP versijoms nuo PHP 5 pagrįstas ne galutiniu kūrėjų sąrašu, bet ankstyvais pranešimais. Todėl tokį platų poveikį laikyti patvirtintu būtų netikslu.

PHP yra serverio pusėje veikianti technologija, naudojama turiniui generuoti ir bendrauti su duomenų bazėmis. Ji yra „WordPress“, „Drupal“, „Joomla“ ir įvairių interneto prekybos bei verslo valdymo sistemų pagrindas.

Skirtingai nuo klaidos viename įskiepyje, pažeidžiamumas pačioje PHP vykdymo aplinkoje potencialiai gali būti aktualus skirtingiems produktams. Tačiau tai savaime nereiškia, kad visos šių sistemų svetainės vienodai pažeidžiamos ar kad kiekvieną jų jau galima nulaužti.

Kodėl institucijos ryžosi išjungti svetaines?

Jungtinės Karalystės Nacionalinis kibernetinio saugumo centras (NCSC) trečiadienį viešai paragino organizacijas surasti visas savo infrastruktūroje veikiančias PHP sistemas, pirmenybę teikiant pasiekiamoms iš interneto.

Jeigu atnaujinimo neįmanoma įdiegti iš karto, institucija siūlo svarstyti laikino sistemos išjungimo galimybę, kol rizika bus suvaldyta. Tai nėra visuotinis nurodymas sustabdyti visas PHP svetaines: sprendimas turi priklausyti nuo konkrečios sistemos, jos prieinamumo ir galimybės užtikrinti apsaugą.

Apie Nyderlandų ir Suomijos valstybinių institucijų svetainių sustabdymą pranešė „Reuters“. Agentūros duomenimis, atsargumo priemonių ėmėsi ir pati Nyderlandų kibernetinio saugumo institucija. Svetainės išjungimas tokioje situacijoje nėra įrodymas, kad į ją jau įsilaužta: tai gali būti sąmoningas veiksmas, kuriuo sustabdomas galimas atakos kelias, kol specialistai išsiaiškina pavojų ir gauna pataisas.

Apie grėsmės rimtumą sprendžiama ne tik iš didelio CVSS balo. Nuotolinis kodo vykdymas, jeigu konkretus pažeidžiamumas išnaudojamas realiomis sąlygomis, teoriškai gali leisti užpuolikui vykdyti komandas serverio aplinkoje.

Pasekmės priklausytų nuo prieigos teisių, paslaugos konfigūracijos ir kitų apsaugos priemonių. Būtų klaidinga iš anksto rašyti, kad atakos automatiškai suteikia visišką visų serverių kontrolę arba kad jau nutekėjo svetainių lankytojų duomenys.

Informacija apie aktyvias atakas kol kas nėra vienareikšmė. „Reuters“ cituoja „Cloudflare“ technologijų vadovą Dane’ą Knechtą, pranešusį apie pastebimus ankstyvus bandymus atakuoti ir apie atnaujinamas ugniasienės taisykles.

Tuo tarpu saugumo bendrovės „Sophos“ tyrėjų įspėjime pažymėta, kad jų pranešimo paskelbimo metu patvirtintų išnaudojimo atvejų realiose sistemose dar nebuvo pranešta. „Sophos“ mini ir socialiniame tinkle pareikštą teiginį apie sukurtą veikiantį atakos pavyzdį, tačiau pats toks pareiškimas nėra nepriklausomai patvirtintas masinių įsilaužimų įrodymas.

Ką dabar turi padaryti „WordPress“ ir kitų PHP svetainių savininkai?

Pirmas praktinis veiksmas – nustatyti ne tik svetainės turinio valdymo sistemos, bet ir serveryje veikiančios PHP versijos numerį. „WordPress“ atnaujinimas ir PHP atnaujinimas nėra tas pats.

Pastarasis dažnai atliekamas per prieglobos paslaugų teikėją, serverio valdymo skydelį ar operacinės sistemos paketų tvarkytuvę. Todėl vien įjungti automatinius „WordPress“ įskiepių atnaujinimus nepakaks, jei kritinė klaida glūdi pačioje PHP aplinkoje.

Administratoriams rekomenduojama nedelsiant susisiekti su serverį prižiūrinčia įmone, išsiaiškinti atnaujinimų diegimo tvarką, patikrinti serverio žurnalus dėl įtartino aktyvumo ir turėti veikiančią atsarginę kopiją prieš keičiant pagrindinę vykdymo aplinką.

CERT-EU ragina svarstyti viešai prieinamų, greitai nepataisomų sistemų izoliavimą nuo interneto. Ugniasienės taisyklės gali sumažinti kai kurių atakų galimybes, tačiau be paskelbtų techninių detalių negalima jų laikyti patikimu galutinio pataisymo pakaitalu.

Ypač svarbu nesumaišyti infrastruktūros sluoksnių. Anksčiau aptartos „WordPress“ įskiepių spragos reikalauja atnaujinti konkrečius papildinius; šiuo atveju perspėjimas nukreiptas į PHP vykdymo aplinką, kurią naudoja ir pats „WordPress“.

Organizacijoms, kurios valdo kelias svetaines ar vidines sistemas, tai reiškia poreikį patikrinti kiekvieną serverį, neapsiribojant vien matomiausiu tinklalapiu.

Grėsmė parodo ir platesnę verslo riziką: kibernetinio saugumo priežiūra negali baigtis vienkartiniu auditu. Organizacija gali turėti prižiūrėtą svetainės dizainą, atnaujintą turinio valdymo sistemą ir vis tiek naudoti nebeprižiūrimą programavimo kalbos versiją. Tokia priklausomybė paprastai išryškėja tik inventorizavus visą programinės įrangos grandinę.

16.30 val. Lietuvos laiku turėtais duomenimis, oficialioji PHP komanda pataisų išleidimą tebebuvo numačiusi 17 valandą. Tik kartu su šiuo leidimu ji pažadėjo paskelbti pilną paveiktų ir pataisytų versijų sąrašą.

Kol tai nepadaryta, tiksliausias patarimas svetainių savininkams – pasirengti nedelsiamam atnaujinimui, stebėti pirminius perspėjimus ir nepasikliauti nepatvirtintais socialinių tinklų pranešimais apie tariamai saugias versijas. Ši istorija keisis, kai kūrėjai pateiks techninius duomenis.