Czy internet jest znów bezpieczny po koszmarze PHP? Co musisz wiedzieć

Dzień po tym, jak dwa błędy w PHP zmusiły rządy do gorączkowego odłączania swoich stron internetowych, poprawka jest już dostępna, atakujący nie ustępują, a wiele osób zadaje sobie to samo pytanie: Czy mogę korzystać z internetu bez obaw, czy powinienem schować się pod łóżko do przyszłego tygodnia?

Krótka odpowiedź brzmi: internet się nie zepsuł, a dla większości ludzi ryzyko dotyczy odwiedzanych przez nich stron internetowych, a nie ich własnych telefonów czy laptopów. Dłuższa odpowiedź zawiera kilka zastrzeżeń, które warto znać.

W skrócie: PHP to oprogramowanie działające w tle na około 70% stron internetowych, których język po stronie serwera jest znany, a dwie luki, nazwane PHP2Shell, pozwalają obcej osobie przejąć kontrolę nad podatnym serwerem bez logowania.

Czy zostało naprawione?

Czy zatem luka została naprawiona? Tak, w większości. PHP udostępniło wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35 w środę, zgodnie z informacjami o wydaniu. „Nie ma pełnych środków zaradczych, aktualizacja jest jedynym bezpiecznym wyborem”. Według stanu na czwartek PHP nie wydało żadnej dodatkowej poprawki.

Poprawka pomaga jednak dopiero wtedy, gdy ktoś ją zainstaluje. PHP nie aktualizuje się samo, więc każda firma hostingowa, dział IT i samodzielny właściciel strony musi zastosować ją na własnych serwerach, a następnie uruchomić ponownie oprogramowanie, aby zaczęła działać.

Innymi słowy, poprawka jest dostępna, ale nie oznacza to, że odwiedzane przez ciebie strony są koniecznie bezpieczne.

PHP 8.1 i starsze wersje nie otrzymują już oficjalnych wydań, co czyni starsze serwery słabym punktem, chociaż zespół ds. bezpieczeństwa PHP opublikował minimalne poprawki dla wersji 7.4, 8.0 i 8.1 dla osób, które samodzielnie kompilują oprogramowanie.

Czy ktokolwiek został faktycznie zhakowany?

Atakujący z pewnością próbowali: dyrektor generalny Cloudflare Matthew Prince powiedział, że jego sieć odnotowała tysiące prób wykorzystania luki w ciągu 10 godzin przed ogłoszeniem, dziesiątki tysięcy w ciągu 45 minut po nim, setki tysięcy w ciągu dwóch godzin i miliony od tego czasu.

Amazon poszedł dalej, twierdząc, że jego serwery-pułapki zarejestrowały próbę ataku 17 października, cztery dni przed upublicznieniem błędów. „Nadal nie jest jasne, w jaki sposób podmiot uzyskał informacje o exploicie przed ujawnieniem”, napisał CJ Moses, CISO Amazona, dodając, że PHP2Shell jest „obecnie szeroko wykorzystywany w środowisku naturalnym”.

Rządy wydają się jednak nie odnotować jakiegokolwiek udanego włamania. Thomas Caspers, wiceprezes niemieckiej federalnej agencji cyberbezpieczeństwa BSI, powiedział, że agencja zaobserwowała ataki, ale żadnego udanego wykorzystania luk, dodając: „Wydaje się to nieco bardziej skomplikowane niż oczekiwano”. Minoru Kihara, główny sekretarz gabinetu Japonii, również powiedział, że nie potwierdzono żadnych ataków wykorzystujących te luki.

Próba to ktoś szarpiący za klamkę; włamanie to ktoś, kto dostaje się do środka, więc oba twierdzenia mogą być prawdziwe jednocześnie. Miliony szarpanych klamek i zero potwierdzonych włamań to dobra wiadomość, ale włamania zwykle odkrywa się później, a nie w czasie rzeczywistym.

Dlaczego nie wykryto tego wcześniej?

W pewnym sensie wykryto. W wpisie na blogu opublikowanym w środę PHP Foundation poinformowała, że jej prace nad bezpieczeństwem w 2024 roku "ujawniły pierwsze oznaki problemu OOM stojącego za CVE-2026-109618", czyli błędu braku pamięci leżącego u podstaw jednej z dwóch luk.

Zespół opracował "kilka konkurencyjnych podejść" do jego naprawy, ale "miał trudności z wyborem między nimi i obawiał się konsekwencji wdrożenia niewłaściwego wyboru" — podała fundacja. "Bez finansowania Fundacji niemożliwe byłoby, aby kilka osób pracowało nad tym problemem w pełnym wymiarze czasu" — dodano.

„Nie będziemy udawać, że jest inaczej: opóźnienie było porażką strukturalną, spowodowaną zarówno procesem decyzyjnym zespołu ds. bezpieczeństwa, jak i jego brakiem zasobów” – napisała fundacja, dodając, że jej zespół ds. bezpieczeństwa, który wcześniej wymagał konsensusu, będzie teraz decydował większością głosów. W przypadku oprogramowania obsługującego większość sieci, ta praca nad bezpieczeństwem „nadal zależy od niewielkiej grupy programistów finansowanych przez fundację i niewielkiej pomocy wolontariuszy” – czytamy we wpisie.

Dlaczego niektóre strony internetowe są nadal niedostępne?

Ponieważ łatanie zajmuje czas, a „offline” było oficjalną radą dla każdego, kto nie mógł załatać od razu. Brytyjskie National Cyber Security Centre poradziło organizacjom rozważenie „wyłączenia systemu do czasu, aż będzie można w pełni złagodzić zagrożenie”.

Lista stron, które zniknęły w środę, szybko się wydłużała. Według TechRadar obejmowała ona usługi Wikimedia, strony i aplikacje Orange w dziesiątkach krajów, 32 brytyjskie usługi rządowe, holenderskie szpitale oraz niemieckiego dostawcę IT dla administracji federalnej, ITZBund.

Brytyjskie Office for Budget Responsibility i strona internetowa rady miasta Edynburg działały ponownie do czwartku. Inne, jak holenderska strona do anonimowego zgłaszania przestępstw Meld Misdaad Anoniem, były nadal niedostępne w czwartek rano, według DutchNews.

Czy powinienem zmienić swoje hasła?

Nie z tego powodu, przynajmniej jeszcze nie teraz. Jak dotąd żaden potwierdzony wyciek danych nie został powiązany z PHP2Shell, a zmiana wszystkich haseł dzisiaj nie pomoże, jeśli serwer strony internetowej nadal nie został załatany.

Co pomaga, to nudne rzeczy: unikalne hasła do każdego konta, włączona uwierzytelnianie dwuskładnikowe i zwracanie uwagi, jeśli firma wyśle ci e-mail o wycieku w nadchodzących tygodniach. Jeśli tak się stanie, zmień to hasło oraz każde konto, na którym je ponownie użyłeś.

Właściciele stron internetowych mają więcej pracy domowej, ponieważ łatanie zamyka drzwi, ale nie mówi, czy ktoś wszedł wcześniej. Firma bezpieczeństwa Tag1 radzi szukać plików PHP, których nie przesłałeś, nowych zaplanowanych zadań i nowych kont oraz rotować hasła do baz danych i klucze API na każdym serwerze dostępnym z internetu, na którym działała podatna wersja.

A co z kryptowalutami?

Założyciel Binance, Changpeng Zhao, miał krótką radę na X: „Nazywajcie mnie paranoikiem, ale bądźcie szczególnie ostrożni, odwiedzając JAKĄKOLWIEK stronę internetową w ciągu najbliższych kilku dni”.

Zhakowany serwer internetowy może pokazać ci fałszywą wersję prawdziwej strony, a w kryptowalutach zwykle oznacza to stronę, która prosi cię o podłączenie portfela i zatwierdzenie transakcji, która go opróżni. Sama sieć blockchain może być w porządku; strony internetowe przed nią mogą już nie być.

Przez najbliższe kilka dni potrójnie sprawdzaj, co podpisujesz, dodawaj do zakładek strony, których używasz, zamiast klikać w linki, i używaj portfela sprzętowego, jeśli go masz. Jak dotąd żadna giełda kryptowalut nie zgłosiła publicznie naruszenia związanego z PHP2Shell.

Więc czy jest bezpiecznie?

Przeglądanie internetu dzisiaj jest mniej więcej tak samo bezpieczne, jak było w zeszłym tygodniu, czyli nie jest idealnie. Prawdziwe zagrożenie dotyczy serwerów, które nie zostały załatane, a firma zajmująca się bezpieczeństwem Mallory naliczyła około 884 000 hostów dostępnych z internetu, działających na wersjach PHP, które nie otrzymują oficjalnych poprawek.

Rada Amazona dla obrońców sprowadza się zasadniczo do tego, że to się jeszcze nie skończyło. „Obrońcy nie powinni zakładać, że data publicznego ujawnienia jest najwcześniejszą datą wykorzystania”. Każdy serwer, który działał na podatnej wersji co najmniej od 17 października, powinien zostać sprawdzony, a nie tylko załatany.