Urad vlade za informacijsko varnost (URSIV) je zaradi dveh kritičnih ranljivosti v programskem jeziku PHP zvišal oceno ogroženosti kibernetske varnosti v Sloveniji na visoko. Ranljivosti lahko napadalcem omogočita oddaljen prevzem nadzora nad spletnimi sistemi, zato urad organizacijam priporoča takojšnjo namestitev varnostnih popravkov.
Visoka ogroženost velja za zavezance po zakonu o informacijski varnosti in za druge organe ter organizacije, ki uporabljajo PHP oziroma programsko opremo, ki ga vsebuje ali je od njega odvisna. Ocena velja do preklica.
Gre za ranljivosti z oznakama CVE-2026-109618 in CVE-2026-109619, ki napadalcem omogočata oddaljeno izvajanje poljubne kode brez predhodne avtentikacije, in sicer s pravicami procesa spletnega strežnika.
Obe ranljivosti sta po lestvici CVSS v4.0 ocenjeni z 9,2 od največ desetih točk. Napadalci bi ju lahko izkoristili za prevzem nadzora nad ranljivimi spletnimi sistemi, kar bi lahko resno vplivalo na delovanje organizacij in varnost podatkov, so opozorili na URSIV.
Ranljive vse starejše različice
PHP je eden najbolj razširjenih strežniških programskih jezikov za razvoj spletnih aplikacij. Uporabljajo ga številni sistemi za upravljanje vsebin, spletni portali ter druge rešitve v javnem in zasebnem sektorju.
Razvijalci PHP so 21. oktobra objavili varnostne popravke v različicah:
- PHP 8.2.35,
- PHP 8.3.36,
- PHP 8.4.27,
- PHP 8.5.12.
Ranljive so vse predhodne različice, vključno s tistimi, za katere se je redna podpora že končala. Za različice PHP 7.4, 8.0 in 8.1 so bili zaradi resnosti ranljivosti objavljeni minimalni izvorni popravki. Popravljene pakete pripravljajo tudi posamezne distribucije in ponudniki podaljšane podpore.
URSIV organizacijam priporoča, naj preverijo izpostavljenost sistemov in nemudoma namestijo ustrezne posodobitve. Če popravek zagotavlja proizvajalec programske opreme, naj od njega zahtevajo podatek o predvidenem roku izdaje.
Izpostavljene različne vrste spletnih strežnikov
Možnost izkoriščanja je bila potrjena pri izvedbi Apache mod_php, pri eni od ranljivosti pa tudi pri PHP-FPM. Po navedbah projekta PHP je lahko ogrožena vsaka namestitev, ki obdeluje spletne zahteve, med drugim PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP in LiteSpeed.
Največje tveganje je pri mod_php, saj se lahko napad sproži še pred izvedbo aplikacijske kode.
Prva ranljivost je povezana z neustrezno obravnavo pomanjkanja pomnilnika, zaradi katere PHP ob zaključevanju zahteve obdela le delno inicializirane podatke. Druga izhaja iz notranjega stanja, ki po koncu zahteve ostane v delovnem procesu, naslednja zahteva pa ga lahko uporabi po sprostitvi pomnilnika.
Začasni ukrepi ne nadomestijo popravkov
Organizacije, ki popravkov ne morejo namestiti takoj, naj začasno omejijo izpostavljenost prizadetih storitev internetu in uvedejo dodatne zaščitne ukrepe. Med njimi so omejevanje velikosti zahtev, prilagoditev pomnilniških nastavitev in uporaba omejitev na ravni vsebnika ali drugega nadzornega okolja.
Na URSIV so poudarili, da začasni konfiguracijski ukrepi tveganje zgolj zmanjšajo, ranljivosti pa v celoti odpravi samo namestitev ustreznih popravkov.
Posamezni ponudniki varnostnih rešitev so že poročali o prvih poskusih izkoriščanja, drugi pa jih pri svojih uporabnikih niso zaznali. Projekt PHP izkoriščanja ob pripravi ocene še ni potrdil, ranljivosti pa še nista bili uvrščeni na seznam aktivno izkoriščanih ranljivosti ameriške agencije CISA.
Zavezanci po zakonu o informacijski varnosti morajo nemudoma začeti izvajati dodatne varnostne ukrepe. URSIV bo izdal tudi pisno odredbo z nujnimi ukrepi in z njo seznanil zavezance, nadaljnje dogajanje pa bo spremljal ter po potrebi sprejel dodatne ukrepe.
