Dve ozbiljne bezbednosne greške u PHP-u pokrenule su hitnu reakciju državnih institucija i organizacija koje održavaju veb-sajtove. Pojedine stranice javnih službi u Finskoj i Holandiji, sajt holandskog parlamenta, gradske uprave Edinburga, kao i neke stranice Vikipedije i BBC-ja, privremeno su ugašene. Nije potvrđeno da je svaki prekid rada bio neposredno izazvan ranjivošću, ali je oprez razumljiv: propust u serverskom softveru može uticati na mnogo sajtova odjednom.
Zašto je problem širi od jednog sajta
PHP se koristi za obradu sadržaja na velikom broju veb-stranica i često radi u pozadini sistema za upravljanje sadržajem, internet prodavnica, dodataka i hosting panela. Zbog toga vlasnik sajta možda i ne zna koju verziju PHP-a koristi njegova infrastruktura. Jedna zastarela komponenta može ostati skrivena u dodatku ili na drugom serveru, čak i kada je glavni sajt ažuriran.
Prema objavljenim informacijama, greške bi u određenim okolnostima mogle omogućiti neovlašćeno daljinsko izvršavanje koda. To bi napadaču potencijalno otvorilo put do datoteka servera ili baze podataka, odnosno omogućilo postavljanje zlonamernog softvera. Procena da je veliki deo interneta potencijalno izložen potiče od bezbednosne kompanije i nije nezavisno potvrđena, pa je ne treba tumačiti kao dokaz da su svi sajtovi kompromitovani.
Ko treba da reaguje
Najveću odgovornost imaju administratori, hosting kompanije i timovi koji održavaju platforme, ali posledice se tiču i korisnika. Ako se na kompromitovanom sajtu obrađuju nalozi, porudžbine ili lični podaci, incident može imati šire posledice od privremene nedostupnosti stranice. Zato je važno da organizacije provere sve instance PHP-a, a ne samo verziju na glavnom serveru.
PHP Foundation je objavila zakrpe za podržane verzije. Organizacijama koje koriste PHP 8.1 ili stariji savetuje se prelazak na noviju podržanu verziju; tačan postupak zavisi od konfiguracije i dodatnog softvera. Ažuriranje treba prvo proveriti u testnom okruženju ako bi prekid rada imao ozbiljne posledice, ali to ne bi trebalo da postane izgovor za odlaganje.
Praktičan spisak za vlasnike sajtova
- Proverite PHP verziju na sajtu, hosting panelu i servisima koji obrađuju sadržaj.
- Instalirajte odgovarajuću zakrpu i ažurirajte CMS, dodatke, teme i prilagođene aplikacije.
- Napravite proverenu rezervnu kopiju i ograničite pristup administratorskim nalozima.
- Ako zakrpa nije dostupna, obratite se provajderu hostinga i razmotrite privremeno ograničavanje javnog pristupa.
- Posle ažuriranja pratite nepoznate naloge, datoteke i neuobičajen saobraćaj.
Zaključak
Ovaj slučaj podseća da bezbednost sajta ne zavisi samo od lozinke ili zaštite naloga, već i od softvera koji radi na serveru. Za obične posetioce nema razloga za paniku, ali je razumno da ne unose podatke na stranice koje prikazuju upozorenja ili se ponašaju neuobičajeno. Vlasnicima sajtova najkorisniji potez sada je provera svih PHP instalacija i brzo, kontrolisano ažuriranje.