Europejski zespół ds. cyberbezpieczeństwa doradził właścicielom stron, które nie mogą załatać dwóch krytycznych luk PHP, by rozważyli ich czasowe wyłączenie. Obie luki pozwalają atakującym przejąć kontrolę nad serwerami www bez logowania.
PHP leży u podstaw wielu stron internetowych, od blogów WordPress po sklepy Magento. Jednak szczegóły obu luk wyciekły do internetu, zanim pojawiły się poprawki.
Atakujący mieli przewagę na starcie
Wyciek nastąpił 20 października, przed planowanym ujawnieniem – poinformował Huntress. Zespół bezpieczeństwa PHP Foundation zaplanował wtedy wydanie poprawek na 21 października o 14:00 czasu UTC.
Firma watchTowr odtworzyła jedną z tych dwóch luk, poinformował Huntress. Sam Huntress nie zauważył jednak prób wykorzystania podatności w systemach swoich klientów.
Z kolei dyrektor technologiczny Cloudflare Dane Knecht przyznał, że ataki już się rozpoczęły. Jego firma wdrożyła reguły zapory dla wszystkich klientów, też darmowych, chroniące przed znanymi wektorami włamań.
Obserwujemy pierwsze ataki i aktualizujemy zabezpieczenia, gdy pojawiają się nowe wektory. To tylko rozwiązanie tymczasowe.
Knecht zamieścił ostrzeżenie w poście na X.
Europejski zespół CERT-EU oraz australijska agencja cyber ostrzegły, że te luki dotyczą każdej wersji PHP od wersji 5 – podał Reuters.
Niektórzy eksperci oczekują poprawek wyłącznie dla wspieranych wersji PHP 8, wskazał Huntress. Strony na starszych, niewspieranych wydaniach mogą więc nie otrzymać łatek.
Ostrzeżenie pojawia się kilka tygodni po tym, gdy ponad 100 firm ostrzegało przed rosnącą falą cyberataków AI w najbliższych miesiącach.
Co luki w PHP oznaczają dla właścicieli stron internetowych
PHP działa na około 69% stron, których język po stronie serwera jest znany – wynika z danych W3Techs. Sam WordPress obsługuje około 40% wszystkich witryn.
CERT-EU stwierdził, że ocena 9,2 w skali oznacza możliwość zdalnego wykonania kodu bez uwierzytelniania. Mówiąc prosto – ktoś z zewnątrz może uruchomić złośliwy kod na serwerze bez jakichkolwiek uprawnień.
Hostingodawca GoDaddy ostrzegł, że atakujący mogą kraść dane, podmieniać treści lub przejąć pełną kontrolę nad systemem. Skradzione dane mają realną wartość, co pokazały włamania do południowokoreańskich banków.
Dostawca wtyczki Wordfence odnotował, że każda strona WordPress opiera się na serwerze PHP. Jednak automatyczne aktualizacje WordPress nie naprawią luk w PHP. Właściciele stron muszą więc ustalić, kto odpowiada za PHP na ich serwerze.
Ataki na infrastrukturę codziennego użytku rozprzestrzeniają się, co pokazał październikowy atak na lodówki francuskich supermarketów. Obecne luki w PHP przenoszą zagrożenie na warstwę oprogramowania, na której opiera się większość internetu. Jedna pominięta aktualizacja może wystarczyć, by otworzyć drzwi atakującym.
