Odkriti ranljivosti v programskem jeziku PHP lahko napadalcem omogočita prevzem nadzora nad spletnimi sistemi, opozarjajo. Na podlagi objavljenih analiz in pridobljenih informacij ter v sodelovanju z drugimi pristojnimi organi in organizacijami so na uradu ugotovil, da bi lahko resno vplivali na varnost informacijskih sistemov in omrežij zavezancev ter drugih organizacij.
Po zakonu o informacijski varnosti, ki je začel veljati junija lani, krog zavezancev zajema 18 sektorjev. Poleg subjektov javnega sektorja zakon zajema tudi nekatere gospodarske subjekte, predvsem velika in srednja podjetja. Kot zavezanci pa se lahko določijo tudi ostali pomembni organi ali entitete oziroma podjetja, ki so pomembna za delovanje v Sloveniji.
Visoka ogroženost se nanaša tudi na druge organe in organizacije, ki uporabljajo programski jezik PHP ali programsko opremo, ki PHP vsebuje oziroma je od njega odvisna. Ocena velja do preklica, so v sporočilu za javnost navedli v uradu vlade za informacijsko varnost.
Kot so še pojasnili, sodi programski jezik PHP med najbolj razširjene strežniške skriptne jezike za razvoj spletnih aplikacij in je podlaga številnim sistemom za upravljanje vsebin, spletnim portalom ter drugim rešitvam v javnem in zasebnem sektorju. Zato opozarjajo, da bi zaradi njegove široke uporabe odkriti ranljivosti lahko pomembno vplivali tudi na centralni državni informacijsko-komunikacijski sistem, organizacije javnega sektorja in širše.
Popravki že na voljo
V uradu organizacijam priporočajo takojšnjo namestitev ustreznih popravkov. Te so razvijalci jezika PHP danes že izdali. "Namestitev popravkov je edini ukrep, ki ranljivosti v celoti odpravi; začasni konfiguracijski ukrepi tveganje le zmanjšajo," poudarja urad.
Posamezni varnostni ponudniki so danes poročali o prvih poskusih izkoriščanja, drugi tega pri svojih strankah niso zaznali, navajajo v uradu. Projekt PHP izkoriščanja ni potrdil, ranljivosti pa ob pripravi ocene še nista bili uvrščeni na seznam aktivno izkoriščanih ranljivosti ameriške zvezne agencije za kibernetsko varnost in varnost infrastrukture (CISA).
"Navedbe o odtekli kodi za izkoriščanje niso neodvisno potrjene," so zapisali v uradu.
Zavezanci po zakonu o informacijski varnosti morajo nemudoma začeti izvajati predpisane dodatne varnostne ukrepe in jih izvajati do preklica. Urad bo na podlagi tega zakona za zmanjšanje visoke ogroženosti ter preprečitev nastanka krize oziroma njeno obvladovanje izdal pisno odredbo z nujnimi ukrepi in z njo seznanil zavezance.
Nadaljnje dogajanje bodo v uradu pozorno spremljali ter po potrebi sprejeli dodatne sorazmerne ukrepe in o njih po potrebi obvestil širšo javnost.
Kakšna so priporočila?
Organizacijam, ki uporabljajo PHP ali programsko opremo z vgrajenim PHP, urad priporoča, da preverijo izpostavljenost svojih sistemov in nemudoma namestijo ustrezne popravke. Če posodobitev zagotavlja proizvajalec programske opreme, naj od njega zahtevajo rok za izdajo popravka, do takrat pa uvedejo začasne zaščitne ukrepe in omejijo izpostavljenost prizadete storitve iz interneta.
Na odkriti ranljivosti so v uradu opozorili že popoldne. Uporabnikom in organizacijam, pri katerih takojšnja namestitev popravkov ni mogoča, so svetovali, naj ocenijo tveganje in po potrebi začasno omejijo dostop do izpostavljenih aplikacij oz. jih izolirajo od javnih omrežij ali uvedejo druge ustrezne zaščitne ukrepe.
Z odkritimi ranljivostmi so bili med drugim seznanjeni tudi v Akademski in raziskovalni mreži Slovenije (Arnes). Posledično obstaja možnost, da bodo nekatere storitve Arnesa začasno nedosegljive, je ta javni zavod danes obvestil prek svoje spletne strani.
Na odkriti ranljivosti je danes opozorila tudi ameriška Agencija za nacionalno varnost (NSA) in prav tako organizacije pozvala, naj nemudoma namestijo popravke ali pa ranljive sisteme izklopijo iz omrežja.
Po poročanju francoske tiskoven agencije AFP je zaradi odkritih ranljivosti več vladnih agencij in organizacij v Franciji, Belgiji in na Nizozemskem začasno onemogočilo dostop do nekaterih spletnih strani.
