Slovenija razglasila visoko stopnjo kibernetske ogroženosti! Krivec sta kritični ranljivosti v PHP-ju

Organizacije, ki uporabljajo prizadeto programsko opremo, morajo čim prej posodobiti sisteme, saj bi lahko napadalci ranljivosti izkoristili za izvajanje zlonamerne kode in pridobitev nadzora nad spletnimi storitvami.

Odkriti varnostni pomanjkljivosti omogočata izvajanje poljubne kode na daljavo, ne da bi se moral napadalec pred tem prijaviti v sistem. Koda se izvaja s pravicami, ki jih ima proces spletnega strežnika, kar lahko napadalcem omogoči resen poseg v delovanje prizadetih sistemov.

Nevarnost za javni in zasebni sektor

PHP je eden najbolj razširjenih jezikov za razvoj spletnih aplikacij na strežniški strani. Uporabljajo ga številni spletni portali, sistemi za upravljanje vsebin in druge spletne rešitve, zato lahko ranljivosti prizadenejo širok nabor organizacij. Med potencialno ogroženimi so tako podjetja kot ustanove javnega sektorja, vključno s sistemi, pomembnimi za delovanje države.

Visoka stopnja ogroženosti velja za zavezance po zakonu o informacijski varnosti, pa tudi za druge organizacije, ki uporabljajo PHP ali programsko opremo, katere delovanje je od njega odvisno. Ocena ostaja v veljavi do preklica.

Zakon o informacijski varnosti zajema 18 sektorjev ter poleg javnih ustanov vključuje tudi določena srednja in velika podjetja ter druge organizacije, ki so pomembne za delovanje države. Pristojni urad je ob oceni tveganja napovedal dodatne obvezne varnostne ukrepe za zavezance.

Popravki so že na voljo

Razvijalci PHP-ja so za odpravo ranljivosti že pripravili varnostne popravke. Organizacijam zato priporočajo, da preverijo, katere različice uporabljajo, ocenijo izpostavljenost svojih sistemov in čim prej namestijo ustrezne posodobitve. Popravki so najzanesljivejši način za odpravo ugotovljenih pomanjkljivosti, medtem ko drugi zaščitni ukrepi tveganje zgolj zmanjšujejo.

Če posodobitev še ni na voljo prek proizvajalca določene programske opreme, naj organizacije preverijo, kdaj jo lahko pričakujejo. Do takrat je priporočljivo omejiti dostop do ranljivih storitev prek interneta, po potrebi začasno onemogočiti izpostavljene aplikacije ali jih ločiti od javnih omrežij.

Zavezanci po zakonu morajo začeti izvajati dodatne varnostne ukrepe, urad pa bo določil tudi nujne ukrepe za zmanjšanje ogroženosti in preprečevanje morebitne večje kibernetske krize. Nadaljnji razvoj dogodkov bo spremljal in po potrebi uvedel dodatne zaščitne zahteve.

Previdnostni ukrepi tudi v tujini

Na ranljivosti so opozorile tudi ameriške varnostne institucije, ki organizacijam priporočajo namestitev popravkov oziroma odklop ranljivih sistemov iz omrežja, če takojšnja posodobitev ni mogoča.

Po doslej zbranih informacijah so nekateri ponudniki kibernetske varnosti zaznali prve poskuse izkoriščanja, drugi pa pri svojih strankah takšnih aktivnosti še niso potrdili. Ob pripravi ocene tudi ni bilo uradne potrditve, da se ranljivosti množično izkoriščata v dejanskih napadih. Informacije o domnevno objavljeni kodi za njihovo izkoriščanje prav tako niso bile neodvisno potrjene.

Zaradi previdnosti so nekatere ustanove v tujini začasno omejile dostop do svojih spletnih strani. Med drugim so o preventivnih ukrepih poročali iz Francije, Belgije in Nizozemske. Tudi Akademska in raziskovalna mreža Slovenije (Arnes) je opozorila, da bi lahko bile nekatere njene storitve zaradi varnostnih ukrepov začasno nedosegljive.

Dogajanje kaže, kako lahko ranljivost v široko uporabljeni programski tehnologiji vpliva na zelo različne organizacije. Za skrbnike sistemov je zato ključno, da čim prej preverijo uporabo PHP-ja, namestijo razpoložljive popravke in do takrat ustrezno omejijo izpostavljenost morebitno ranljivih storitev.