Vlády v Evropě i dalších částech světa ve středu vypínaly své webové stránky kvůli nově odhaleným bezpečnostním chybám v programovacím jazyku PHP, informovala agentura Reuters. Ve středu večer byl kvůli provedení bezpečnostních oprav zhruba na dvě hodiny preventivně odstaven také web Úřadu vlády ČR. Je k dispozici aktualizace PHP, která chyby eliminuje. Vývojáři PHP vyzvali uživatele k její okamžité instalaci. Tento postup doporučil i Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB).
Vývojáři jazyka PHP o bezpečnostních nedostatcích informovali v úterý. Následně se objevily zprávy, že hackeři se už snaží tyto chyby využít k útokům na webové stránky. Vývojáři PHP následně vydali aktualizaci, která tato dvě kritická slabá místa v tomto programovacím jazyce odstraňuje.
K aktualizaci vyzval i NÚKIB, a to kvůli dvěma bezpečnostním chybám, které mohou útočníkovi umožnit na dálku spustit vlastní kód na napadeném serveru bez předchozího přihlášení. „Pro dvě kritické zranitelnosti označované jako php2shell už byly zveřejněny bezpečnostní opravy a veřejně jsou dostupné také informace umožňující jejich zneužití,“ uvedl NÚKIB. Opravené verze jsou PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12.
„Doporučení je aktualizovat okamžitě. Za potenciální indikátory kompromitace lze považovat například neobvyklé procesy spouštěné službami PHP, které mohou naznačovat pokus o zneužití zranitelnosti,“ dodal NÚKIB.
V úterý v 19:00 preventivně odstavil svůj web Úřad vlády ČR. Odstávka umožní provedení bezpečnostních oprav. „Cílem opatření je zajistit bezpečný provoz webových stránek. Po dobu odstávky nebudou stránky ani jejich obsah dostupné veřejnosti. Provoz bude obnoven po provedení doporučených bezpečnostních aktualizací,“ sdělil Úřad vlády.
Český hydrometeorologický ústav na síti X po 19. hodině oznámil, že z důvodů kritických zranitelností PHP jsou dočasně mimo provoz některé jeho weby, například https://hydro.chmi.cz. Kvůli aktualizacím nefungovaly několik desítek minut také stránky Drážního úřadu, po 21:00 byly opět funkční.
Podle kyberbezpečnostní společnosti Check Point Software Technologies spočívá nebezpečí v tom, že zranitelnosti jsou přímo v PHP, které využívá obrovské množství webů a e-shopů, sdílených hostingových platforem, ovládacích panelů a celá řada komerčních programů. „Zranitelnosti mohou útočníkům umožnit na dálku spustit vlastní kód na zranitelném serveru, a to i bez přihlášení. Následkem může být krádež dat, napadení dalších systémů nebo výpadek služeb,“ sdělila firma.
Opatření napříč internetovým prostředím
K preventivnímu odstavení internetových stránek již dříve přikročily například vládní úřady v Nizozemsku, Francii a Finsku, píše Reuters. Francouzské ministerstvo ve středu uvedlo, že při čekání na bezpečnostní aktualizaci z preventivních důvodů dočasně odstavilo weby úřadů státní správy ve francouzských departementech. Finský státní poskytovatel informačních technologií Valtori ohlásil preventivní odstavení veřejných internetových služeb tamní vlády.
Některé systémy vypnula například také organizace Wikimedia Foundation, která kromě jiného provozuje encyklopedii Wikipedie.
Programovací jazyk PHP využívá velká část internetu – od jednoduchých blogů přes velké zpravodajské portály až po rozsáhlé internetové obchody, upozorňuje agentura DPA. „PHP je všude,“ uvedla společnost Huntress působící v oblasti kybernetické bezpečnosti.
Podle odborníků čelí akutnímu nebezpečí zejména weby provozované jednotlivci či organizacemi s omezenými technickými zdroji. Těm může instalace aktualizací zabrat více času, takže mohou zůstat zranitelné po delší dobu, napsala agentura Reuters.
Společnost Wiz zaměřená na kybernetickou bezpečnost uvedla, že slabiny v PHP byly odhaleny za pomoci umělé inteligence (AI). Dodala, že slabiny se v kódu PHP skrývaly přes deset let a jejich zneužití by bylo bez pomoci AI mimořádně složité. Podle Reuters společnost uvedla, že se jedná o „nejzávažnější zranitelnosti, které kdy umělá inteligence odhalila“.
