Z powodu podatności w języku PHP, agencje rządowe i instytucje publiczne m.in. w Niemczech, Holandii, Belgii, Finlandii i we Francji wyłączyły niektóre swoje witryny – wychodząc z założenia, że „nie można zhakować czegoś, co nie działa". Podobne kroki podjęto właśnie w naszym kraju.
Rząd reaguje na luki w oprogramowaniu
Wicepremier i minister cyfryzacji Krzysztof Gawkowski przekazał, że w tej sprawie odbyło się spotkanie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa. Został przygotowany plan działań, który obecnie jest wdrażany w życie. Sam minister określił wykryte luki mianem „poważnych".
Centralny Ośrodek Informatyki (COI) podjął decyzję o czasowym wyłączeniu stron Biuletynu Informacji Publicznej (BIP) działających w ramach Systemu Scentralizowanego Dostępu do Informacji Publicznej (SSDIP).
– Czasowa niedostępność dotyczy wyłącznie stron działających w serwisie http://ssdip.bip.gov.pl, a nie wszystkich stron BIP w Polsce. Czasowe wyłączenie serwisu pozwoli wprowadzić niezbędne zabezpieczenia i zadbać o jego bezpieczne działanie – wyjaśnił Krzysztof Gawkowski.
Minister zapewnił, że informacje o dalszych działaniach będą przekazywane na bieżąco. Zaapelował też, by w przypadku wykrycia jakichkolwiek śladów wykorzystania luki przez hakerów niezwłocznie skontaktować się z zespołem reagowania na incydenty bezpieczeństwa CERT Polska.
CERT i NASK ostrzegają przed zagrożeniem
Zespół CERT Polska wydał oficjalne ostrzeżenie przed wykrytą podatnością. Jak tłumaczą eksperci, pozwala ona „atakującemu na zdalne wykonanie dowolnych poleceń systemowych poprzez błędy w mechanizmie zarządzania pamięcią". Narażone na atak są wszystkie wersje PHP od 5.4 w górę.
„Jedyną skuteczną metodą ochrony przed wykorzystaniem podatności jest instalacja poprawionej wersji PHP" – wskazuje w komunikacie CERT. Dodano jednak, że aby zminimalizować ryzyko padnięcia ofiarą w pierwszej fali masowych ataków, administratorzy mogą ustawić konkretne wartości parametrów PHP (szczegóły techniczne udostępniono na stronie zespołu).
W sprawę aktywnie zaangażował się również Państwowy Instytut Badawczy NASK.
Zespół CSIRT NASK współpracuje z właściwymi instytucjami (w tym z innymi CSIRT-ami poziomu krajowego). Jeszcze przed wypuszczeniem aktualizacji przez producenta informowaliśmy o ryzyku, konieczności aktualizacji oraz możliwości tymczasowego wyłączenia podatnych serwisów, co częściowo nastąpiło
– czytamy w przesłanym redakcji komunikacie. Instytut uspokaja, że prawidłowe wdrożenie aktualizacji zapewnia obecnie wystarczającą ochronę, więc nie ma potrzeby odłączania kolejnych witryn. „W rzadkich przypadkach, gdy nie ma możliwości natychmiastowej aktualizacji PHP, tymczasowym rozwiązaniem jest zastosowanie opublikowanych przez zespół CERT Polska sposobów mitygacji" – dodają eksperci NASK.
Podkreślono jednocześnie, że owo tymczasowe rozwiązanie sprawdza się tylko dlatego, że w sieci brakuje jeszcze skutecznych narzędzi (tzw. exploitów) do masowego wykorzystywania luki.
Przestępcy wspierani przez sztuczną inteligencję mogą jednak w najbliższym czasie obejść również i te dodatkowe zabezpieczenia w starych wersjach PHP. W takim wypadku, jeśli dalej nie będzie możliwości zaktualizowania wersji, wyłączenie serwisu pozostanie jedynym możliwym rozwiązaniem
– podsumowano w oświadczeniu.
Czym jest PHP? Luki w oprogramowaniu
PHP to język programowania służący do budowy i obsługi stron internetowych. Gdy użytkownik wczytuje witrynę, serwer z uruchomionym PHP generuje jej zawartość i wysyła prosto do przeglądarki. Innymi słowy: to kod, który błyskawicznie zbiera potrzebne informacje i prezentuje je w czytelnej dla nas formie.
Jest to darmowe oprogramowanie typu open source, rozwijane przez wolontariuszy i używane właściwie od początków istnienia współczesnego internetu. Skala jego wykorzystania jest gigantyczna. Według serwisu W3Techs, badającego rynek technologii internetowych, PHP obsługuje około 75 proc. wszystkich stron w sieci, których język programowania da się zidentyfikować.
Na tym oprogramowaniu opiera się m.in. WordPress, z którego z kolei korzysta ok. 43 proc. całego internetu – od blogów i stron małych firm po portale rządowe, wielkie sklepy i serwisy informacyjne. Z obawy przed hakerami, wiele podmiotów na całym świecie – podobnie jak Polska – prewencyjnie odcięło dostęp do swoich systemów. Zrobiła to chociażby Fundacja Wikimedia, czyli organizacja stojąca za Wikipedią.
Co ciekawe, krytyczne luki w kodzie zostały wykryte za pomocą sztucznej inteligencji. Jedną z pierwszych firm, która wpadła na ich trop, była spółka Wiz zajmująca się cyberbezpieczeństwem. Znalezisko określono jako jedno z „najpoważniejszych" w dotychczasowej historii.
Przeczytaj więcej: Panika po wykryciu luki w oprogramowaniu. "PHPokalipsa". 75 proc. stron zagrożonych. I na tym nie koniec.
