Īsi sakot: PHP drošības ievainojamība PHP2Shell sastāv no divām kritiskām kļūdām PHP, kas ir lielākās daļas vietņu un interneta veikalu pamats. Uzbrucēji ar to var bez paroles izpildīt ļaunprātīgu kodu tīmekļa serveros. BSI brīdina ar oranžo līmeni un iesaka: nekavējoties atjaunināt, citādi skartos serverus uz laiku atvienot no tīkla. Vadībai tas šodien nozīmē: noskaidrot atbildību, pieprasīt atjauninājumu un apliecinājumu, lemt par atslēgšanu un visu dokumentēt.
Situācija trīs teikumos
- gada 21. oktobrī PHP projekts publicēja atjauninājumus divām kritiskām drošības ievainojamībām, kas pazīstamas ar nosaukumu PHP2Shell. Skarts ir pats PHP, nevis kāds konkrēts produkts, tātad potenciāli katra vietne, katrs veikals un katrs portāls, kas darbojas ar PHP. BSI ir izsludinājis brīdinājuma līmeni 3 / oranžs, drošības uzņēmumi ziņo par uzbrukuma mēģinājumiem, apstiprināti veiksmīgi uzbrukumi plašā mērogā saskaņā ar BSI sākotnēji nebija zināmi.
Iestādes, piemēram, BKA (Vācijas Federālais kriminālpolicijas birojs), un vairākas pilsētas saskaņā ar mediju ziņojumiem savas vietnes atslēdza piesardzības nolūkā. Tā bija piesardzība, nevis uzbrukuma pazīme.
Ko PHP drošības ievainojamība nozīmē vadībai un uzņēmumam
Jautājums nav, vai jūs izmantojat PHP. Gandrīz katrs uzņēmums to dara kaut kur: vietne, veikals, kandidātu portāls, klientu sadaļa, iekšējais tīkls, biļešu sistēma, aģentūras mikrovietne. Jautājums ir, vai šīs sistēmas ir aktuālas un kurš par tām atbild.
Ja uzbrukums izdodas, uzbrucējs sliktākajā gadījumā var pārņemt serveri. Iespējamās sekas ir datu noplūde, manipulēts saturs, novirzīšana uz krāpnieku lapām, veikala darbības pārtraukums vai servera ļaunprātīga izmantošana turpmākiem uzbrukumiem. Ja var būt skarti personas dati, pievienojas ziņošanas pienākumi; termiņš saskaņā ar VDAR 33. pantu parasti ir 72 stundas. Detaļas atrodamas sadaļā VDAR ziņošanas pienākums. Šī nav juridiska konsultācija.
Kādas izmaksas ārkārtas gadījumā parasti rodas, izvērtē raksts Uzlaušanas izmaksu pozīcijas.
Kur PHP uzņēmumos bieži tiek pamanīts par vēlu
Galveno vietni lielākā daļa uztur redzeslokā. Drīzāk tiek aizmirstas sistēmas pie malas: ārēja piegādātāja kandidātu portāls, iepriekšējas kampaņas mērķlapa, partneru sadaļa tirgotājiem, atbalsta biļešu sistēma, failu mākonis uz paša servera vai tīkla krātuves tīmekļa saskarne. Arī aģentūru testa sistēmas bieži ir publiski sasniedzamas un darbojas tajā pašā serverī kā īstā vietne.
Vadībai mācība ir vienkārša: jautājums IT nav “Vai mūsu vietne ir ielāpota?”, bet “Vai visas mūsu sistēmas ar PHP ir ielāpotas, arī pakalpojumu sniedzēju?”. Atšķirība starp abiem jautājumiem bieži ir tieši tā vieta, kurā uzbrukums gūst panākumus.
Kas situācija nav
Tikpat svarīgs ir vērtējums uz leju. PHP2Shell nav iemesls aktīvismam, kas darbību traucē vairāk nekā nepieciešams. Kas ir apliecināti ielāpojis, pārstartējis visus PHP procesus un pārbaudē nav atradis novirzes, var atgriezties pie normālas darbības. Pagaidu atslēgšana ir iespēja neskaidriem gadījumiem, nevis pienākums visiem.
Pieci jautājumi jūsu IT vai pakalpojuma sniedzējam
Šos jautājumus varat uzdot šodien. Atbildēm jānāk rakstiski.
- Kuras mūsu sistēmas darbojas ar PHP? Saraksts ar adresi, mērķi un operatoru.
- Vai katra sistēma ir ielāpota? Labotā versija 8.5.12, 8.4.27, 8.3.36 vai 8.2.35, vai pakalpojuma sniedzēja apstiprināts backport.
- Vai visi PHP procesi ir pārstartēti? Bez pārstartēšanas atjauninājums nedarbojas.
- Kā ar sistēmām uz PHP 8.1 vai vecāku? Tām oficiālu atjauninājumu nav. Kāds ir plāns?
- Vai ir pārbaudīts, vai pirms atjauninājuma kaut kas nav noticis? Žurnāli no 20. oktobra saglabāti, pēdas meklētas?
Ja jūsu vietne atrodas pie hostinga sniedzēja, palīdz formāls pieprasījums. Paraugu piedāvā ceļvedis Pieprasīt hostinga sniedzēja PHP atjauninājuma apstiprinājumu.
Lēmumi, kuriem šodien jānotiek
| Lēmums | Iespējas | Pamats |
|---|---|---|
| Kurš vada? | atbildīga persona uzņēmumā, ārējs partneris | atbildībai jābūt nepārprotamai |
| Neielāpotās sistēmas | nekavējoties ielāpot, pagaidu pasākumi, uz laiku atslēgt | BSI ieteikums, datu situācija, nozīme apgrozījumam |
| Pēdu pārbaude | iekšēji, ārēji, tikai pie novirzēm | datu aizsardzības vajadzība serverī |
| Komunikācija | informēt iekšēji, sagatavot klientus, gaidīt | situācija pēc pārbaudes |
| Vecās sistēmas | plānot migrāciju, izolēt, atslēgt | PHP 8.1 un vecākām nav oficiālu atjauninājumu |
Fiksējiet, kurš kad ko nolēma un uz kāda informācijas pamata. Pietiek ar īsu, datētu piezīmi. Pēcāk pret apdrošinātājiem, klientiem vai uzraudzības iestādēm tā bieži ir vērtīgāka par jebkuru vēlāku paskaidrojumu.
Kāpēc šī dokumentācija vadībai ir svarīga, izskaidro lapa Vadības atbildība IT drošības ievainojamību gadījumā. Šī ir vispārīga informācija, nevis juridiska konsultācija.
Kam nevajadzētu ticēt
Trīs apgalvojumus vadītāji šobrīd dzird bieži, un visi trīs ir nepareizi:
- “Mēs atjauninājām WordPress, tātad esam droši.” Ievainojamība ir PHP, nevis CMS. CMS atjauninājums to neaizver.
- “Mēs esam pārāk mazi, mums neviens neuzbruks.” Uzbrukumi norit automatizēti. Tiek meklēti ievainojami serveri, nevis zināmi vārdi.
- “Atjauninājums ir uzlikts, tātad jautājums ir atrisināts.” Ielāps nenoņem ļaunprātīgu programmatūru, kas iepriekš tika ievadīta, un nepierāda, ka nekas nav noticis.
Kā PHP SOS palīdz konkrēti?
- Situācijas ainas vadībai: Mēs sagatavojam īsu jūsu PHP sistēmu pārskatu ar statusu un ieteikumu katrai sistēmai.
- Īstenošana: Mēs ielāpojam, pārstartējam vai ieviešam pagaidu pasākumus, kur atjauninājums vēl nav iespējams.
- Pārbaude: Mēs saglabājam žurnālus un meklējam uzbrukuma pēdas.
- Apliecinājums: Jūs saņemat dokumentāciju, ko varat izmantot iekšēji un pret trešajām pusēm.
Norisi apraksta PHP2Shell tūlītējā palīdzība.
Secinājums
PHP2Shell ir tehniska ievainojamība ar vadības uzdevumu. Tehniku paveic speciālisti. Vadība gādā, lai kāds ir atbildīgs, lai uz pieciem jautājumiem tiek atbildēts un lai lēmumi tiek pieņemti apzināti un dokumentēti. Tas ietilpst vienā priekšpusdienā, ja sāk šodien.
Biežāk uzdotie jautājumi
Vai vadībai pašai jārūpējas par PHP2Shell?
Tehniskā īstenošana nav, bet vadība ir. Vadībai jānodrošina, ka atbildības ir skaidras, BSI (Vācijas Federālais informācijas drošības birojs) ieteikums tiek īstenots un lēmumi, piemēram, par pagaidu atslēgšanu, tiek pieņemti apzināti un dokumentēti.
Kā ievainojamību izskaidrot vienā teikumā?
PHP, programmatūrā, uz kuras darbojas lielākā daļa vietņu un veikalu, ir divas kritiskas kļūdas, caur kurām svešinieki bez paroles var startēt programmas serverī; atjauninājums ir pieejams, un tas jāinstalē.
Cik maksā nedarīt neko?
To nevar vispārīgi izteikt skaitļos. Veiksmīga uzbrukuma iespējamās sekas ir dīkstāve, datu noplūde, ziņošanas pienākumi, attīrīšanas un forensikas izmaksas, kā arī klientu uzticības zaudēšana. Atjauninājums ar pārbaudi parasti ir ievērojami mazāk darbietilpīgs.
Vai pietiek, ja par to rūpējas hostinga sniedzējs?
Koplietošanas hostingā atjauninājumu parasti ievieš hostinga sniedzējs. Lūdziet to apstiprināt rakstiski, ieskaitot PHP procesu pārstartēšanu. Vai pirms atjauninājuma kaut kas noticis, apstiprinājums neatbild; tam nepieciešama vietnes pārbaude.