PHP turvaparandused tulevad kolmapäeval kell 17, esimesed rünnakud on alanud

PHP turvameeskond avaldab kahe kriitilise haavatavuse parandused kolmapäeval kell 17 Eesti aja järgi. Cloudflare'i sõnul on esimesed rünnakud juba alanud, ning CERT-EU soovitab paikamatuil saitidel ajutiselt võrgust lahkuda.

PHP turvameeskond avaldab kahe kriitilise haavatavuse parandused kolmapäeval kell 17 Eesti aja järgi. Veebi- ja pilveturbeettevõtte Cloudflare tehnoloogiajuhi Dane Knechti sõnul on esimesed rünnakud juba alanud.

«Juba on märgata esimesi ründeid ning kaitsemeetmeid uuendatakse vastavalt uute ründevektorite ilmnemisele. See on üksnes AJUTINE LAHENDUS. Paigaldage parandus kohe, kui PHP uuenduse avaldab,» kirjutas Dane Knecht sotsiaalmeedias. Cloudflare uuendab ajutise meetmena oma tulemüüri reegleid.

Mõlema haavatavuse raskusaste on CVSS v4.0 skaalal 9,2. Euroopa Liidu küberintsidentide üksus CERT-EU selgitas teisipäevases ohuhinnangus, et see viitab autentimata koodi kaugkäivitamise ohule: ründaja saab haavatavas süsteemis pahatahtlikku koodi käivitada ilma sisse logimata.

Hoiatused paikamata saitidele

CERT-EU kutsus organisatsioone valmistuma mõjutatud süsteemide viivitamatuks paikamiseks. Kes seda teha ei saa, peaks kaaluma veebilehtede ajutist võrgust eemaldamist. Eestis on mitu asutust veebilehti ennetavalt sulgenud; Riigi Infosüsteemi Amet kinnitas, et tegu on ettevaatusabinõuga, mitte märgiga, et süsteemidesse oleks sisse murtud.

Sarnase juhise andis Austraalia küberjulgeolekukeskus ACSC, kes soovitas tuvastada oma keskkondade PHP-süsteemid ja jälgida rakendusi pahatahtliku tegevuse märkide suhtes. Amet lisas, et tal pole praegu teada, et auke oleks aktiivselt ära kasutatud.

GoDaddy hinnangul võivad augud lubada ründajatel käivitada serverites koodi, mis viib andmevarguse, veebilehe rikkumise või kogu süsteemi kompromiteerimiseni.

WordPressi saitidel automaatuuendus ei aita

PHP-d kasutatakse väga laialdaselt. Küberturvalisuse ettevõte Huntress märkis blogis: «PHP on kõikjal. See käitab märkamatult WordPressi, Drupali, Joomla ja Magento lehti, jagatud veebimajutusplatvorme, juhtpaneele ja tohutul hulgal tarkvara, mis ei reklaamigi, et nende mootoriks on PHP.»

WordPressi kaitsva pistikprogrammi Wordfence arendajad hoiatasid, et automaatsed uuendused turvaparandust ei paigalda. Nad soovitasid saitide omanikel välja selgitada, kes vastutab nende PHP uuendamise eest.

Haavatavuste, mõjutatud versioonide ja parandatud väljalaskete üksikasjad avaldab PHP turvameeskond koos parandustega.