Ukratko: CERT-EU prema izvješćima savjetuje popisati PHP instalacije, odmah zakrpati i izolirati javno dostupne aplikacije ako se ne mogu pravodobno zakrpati. CERT-Bund (njemački državni CERT) i BSI (njemački Savezni ured za informacijsku sigurnost) u svojem upozorenju preporučuju trenutačno ažuriranje i, ako to nije moguće, privremeno odspajanje pogođenih web-poslužitelja s mreže. Preporuke se u jezgri podudaraju: najprije ažuriranje, izolacija kao rješenje u nuždi, prijelazne mjere samo kao dopuna.
Tko upozorava i za koga?
Kod PHP2Shella više je službenih tijela reagiralo unutar nekoliko sati. Za tvrtke u Njemačkoj prva je adresa BSI sa svojim računalnim timom za hitne slučajeve CERT-Bund. CERT-EU je služba kibernetičke sigurnosti institucija EU-a; njegove su napomene prvenstveno namijenjene njima, ali se čitaju diljem Europe. Prema BleepingComputeru upozorio je i britanski National Cyber Security Centre. Iz privatnog sektora javili su se, među ostalima, Huntress i Cloudflare.
Za Vas kao operatera podrijetlo je manje važno od podudarnosti. Kad više neovisnih tijela savjetuje isto, to je snažan signal.
CERT-Bund, CERT-EU i drugi: PHP upozorenja u usporedbi
| Tijelo | Ključna preporuka | Posebnost |
|---|---|---|
| BSI / CERT-Bund | odmah ažurirati, inače web-poslužitelje privremeno odspojiti s mreže | razina upozorenja 3 / narančasto |
| CERT-EU | popisati PHP instalacije, odmah zakrpati, inače izolirati javne aplikacije | prema izvješćima smatrao mogućim da su pogođene verzije od PHP-a 5 |
| UK NCSC | odmah ažurirati ili pogođene sustave do zakrpe odspojiti s mreže | prema BleepingComputeru |
| php.net | ažurirati na 8.5.12, 8.4.27, 8.3.36 ili 8.2.35, prijelazne mjere samo kao djelomična zaštita | primarni izvor za verzije i postavke |
Nijedno tijelo ne preporučuje da se oslanjate samo na Web Application Firewall ili na postavke u php.ini. Sva ažuriranje navode kao pravo rješenje. Što BSI nadalje pojedinačno savjetuje, navodi stranica Što BSI preporučuje o PHP2Shellu.
Pitanje verzija: što znači „od PHP-a 5“
CERT-EU je prema izvješćima smatrao mogućim da su pogođene verzije od PHP-a 5. Pritom se tijelo prema stručnim izvješćima oslanjalo na informacije koje su kružile prije službene objave. Stručni tisak govori o gotovo svim verzijama sve do PHP-a 5.4.
Praktički točna granica malo mijenja. Za PHP 8.1 i starije PHP projekt više ne isporučuje službena ažuriranja. Postoje minimalni backportovi izvornog koda za 7.4, 8.0 i 8.1, ali ne i izdanja. Tko još pokreće PHP 5 ili 7, upućen je na distribucije, treće strane ili migraciju. Je li Vaša distribucija isporučila ispravak, pokazuju njezine vlastite sigurnosne stranice, primjerice Debian Security Tracker, Ubuntu Security Notices ili napomene tvrtke Red Hat. Postoje i komercijalne ponude dugoročne podrške za stare PHP verzije; pokrivaju li PHP2Shell, trebali biste si pisanim putem potvrditi kod pružatelja. Pojedinosti o granama nalaze se na stranicama Koje su PHP verzije pogođene? i PHP 8.1 i starije.
Izolirati: kako provesti preporuku
„Izolirati“ zvuči apstraktno. Misli se na to da zahtjevi s interneta više ne dopiru do ranjive PHP aplikacije. Ovisno o aplikaciji postoji više razina:
- Potpuno isključiti: Web-stranica se zamjenjuje statičnom stranicom za hitne slučajeve bez PHP-a. To je najsigurnija varijanta.
- Ograničiti pristup: Aplikacija ostaje u radu, ali je dostupna samo putem VPN-a ili za određene IP adrese, primjerice za interne portale.
- Prijava ispred aplikacije: Prijava na razini web-poslužitelja ili proxyja ispred aplikacije. Pozor: kod mod_php pokazan je exploit prije nego što se izvrši kod aplikacije. Prijava stoga mora djelovati prije PHP-a, a ne u aplikaciji.
- Blokirati izravan pristup izvoru: Tko koristi proxy ili CDN uslugu, treba osigurati da poslužitelj nije dodatno izravno dostupan.
Ograničenje u web-poslužitelju može izgledati ovako, kao bezopasna konfiguracija za Apache:
# Dopustiti pristup samo iz interne mreže (prilagoditi raspon iz primjera)
<Location "/">
Require ip 192.0.2.0/24
</Location>
Učinak testirajte izvana, primjerice putem mobilne veze. Izolacija koja je provjerena samo u uredskoj mreži nije provjerena izolacija.
Izolacija je premošćivanje. Pri izolaciji odmah odredite do kada ažuriranje stiže i tko ga instalira. Inače rješenje u nuždi postaje trajno stanje.
Što preporuke zajednički traže: inventar
Sva službena tijela pretpostavljaju da znate gdje se PHP izvodi. Upravo na tome mnoge tvrtke zakažu: mikrostranice iz starih kampanja, zaboravljen portal za kupce, testni sustav s javnom adresom, aplikacija na NAS-u. CERT-EU izričito navodi popisivanje PHP instalacija kao prvi korak.
Zaboravljene sustave najlakše ćete pronaći na tri načina: preko DNS zona Vaših domena, preko popisa izdanih TLS certifikata i preko ugovora s agencijama, pružateljima hostinga i dobavljačima softvera. Svaki unos za koji nitko ne može odmah reći što iza njega radi ide na popis za provjeru. Upravo su takvi sustavi u situaciji poput PHP2Shella opasni jer ih nitko ne zakrpava i nitko ih ne bi propustio kad bi bili kompromitirani.
Upotrebljiv inventar po sustavu sadrži: adresu, namjenu, operatera, PHP verziju i način rada, izvor paketa i kontakt osobu za ažuriranja. Kako ga izgraditi i održavati ažurnim, pokazuje članak Inventar svih web-stranica i poslužitelja.
Kako PHP SOS konkretno pomaže?
- Popisivanje: Utvrđujemo Vaše javno dostupne PHP sustave i razvrstavamo ih prema riziku.
- Zakrpa ili izolacija: Instaliramo ažuriranja ili izoliramo aplikacije koje se ne mogu odmah zakrpati te učinak provjeravamo izvana.
- Stare verzije: Za sustave s PHP-om 8.1 i starijim s Vama planiramo put do podržanog stanja.
- Dokaz: Dobivate dokumentaciju provedenih preporuka po sustavu.
Kako stare aplikacije dovodimo na podržane verzije, opisuje usluga PHP migracija za naslijeđene sustave.
Zaključak
CERT-EU, CERT-Bund, BSI i PHP projekt govore jednim glasom: ažurirati, a gdje to nije odmah moguće, izolirati. Razlike su u pojedinostima poput granice verzija. Za Vašu praksu važan je prvi korak koji svi pretpostavljaju: znati gdje se sve PHP izvodi.
Česta pitanja
Koja je razlika između CERT-Bunda i CERT-EU?
CERT-Bund je računalni tim za hitne slučajeve pri BSI-ju i u Njemačkoj upozorava na ranjivosti. CERT-EU je služba kibernetičke sigurnosti institucija i tijela Europske unije. Oba izdaju preporuke koje su korisne i za tvrtke.
Što znači izolirati PHP aplikaciju?
Aplikacija nakon toga više nije slobodno dostupna s interneta. To je moguće stranicom za hitne slučajeve, pristupom samo putem VPN-a ili određenih IP adresa ili potpunim isključenjem. Odlučno je da zahtjevi izvana više ne dopiru do ranjivog PHP procesa.
Jesu li prema CERT-EU pogođene i PHP 5 verzije?
CERT-EU je prema izvješćima smatrao mogućim da su pogođene verzije od PHP-a 5, oslanjajući se na informacije koje su kružile prije službene objave. Stručni tisak navodi gotovo sve verzije do PHP-a 5.4. Za tako stare verzije nema službenih ažuriranja.
Postoje li službena obilježja za prepoznavanje napada?
Ne. Za sada nema objavljenih, potvrđenih Indicators of Compromise za PHP2Shell. Prepoznavanje se temelji na analizi ponašanja, primjerice procesa web-poslužitelja koji pokreću shellove ili novih PHP datoteka u mapama za upload.