Pe scurt: După avertismentul privind PHP2Shell, în Germania au fost oprite site-uri, printre care, potrivit presei, portalul web al orașului Mainz, precum și pagini ale guvernului landului Hessa și ale BKA (Oficiul Federal German de Poliție Criminală). A fost vorba de prevenție, după recomandarea BSI (Oficiul Federal German pentru Securitatea Informațiilor), nu de atacuri confirmate. Companiile pot învăța de aici: o oprire este o opțiune legitimă atunci când un patch nu este posibil imediat și reușește cel mai bine atunci când este pregătită.
Site-uri oprite din cauza PHP: ce s-a întâmplat pe 21 octombrie
În ziua actualizărilor de securitate PHP, numeroase site-uri publice din Germania nu au fost accesibile. Potrivit relatărilor din presă, orașul Mainz și-a oprit preventiv portalul web central. Primăria a rămas accesibilă telefonic și prin e-mail.
În Hessa, potrivit hessenschau, au fost temporar offline, printre altele, pagini ale guvernului landului, ale Bundeskriminalamt, precum și ale orașelor Kassel și Wiesbaden. Cancelaria de Stat a vorbit despre ajustări tehnice și nu a raportat niciun atac. Site-urile landului au fost din nou accesibile seara. Alte comune, universități și clinici au scos, potrivit relatărilor, de asemenea oferte din rețea, preventiv.
Contextul este recomandarea BSI privind PHP2Shell: actualizați imediat și, dacă aceasta nu este posibilă imediat, scoateți temporar din rețea serverele web afectate. Ce recomandă BSI în detaliu rezumă pagina Ce recomandă BSI despre PHP2Shell.
Oprit nu înseamnă compromis
În comentarii și în rețelele sociale, din „offline” s-a făcut rapid „hackuit”. Potrivit a tot ce se știe, acest lucru este fals. Opririle au fost o măsură de protecție într-un moment în care mulți operatori nu cunoșteau încă sigur nivelul de patch al serverelor lor.
Pentru companii, această distincție este importantă de două ori. Mai întâi spre exterior: cine se oprește preventiv ar trebui să spună acest lucru și să nu tacă. Apoi spre interior: o oprire nu răspunde la întrebarea dacă serverul a fost atacat înainte. Ea oprește doar alte încercări. Verificarea urmelor rămâne necesară.
Un al treilea punct este adesea trecut cu vederea: o oprire nu are voie să distrugă urme. Cine reinstalează pur și simplu serverul pentru a-l opri sau șterge loguri pentru a face loc își ia posibilitatea de a clarifica mai târziu ce s-a întâmplat înainte de oprire. Mai bine este să redirecționați serverul web către o pagină de urgență sau să blocați accesul din exterior și să lăsați serverul însuși, cu toate logurile, neschimbat.
De ce au reacționat tocmai instituțiile publice astfel
Autoritățile operează adesea multe site-uri în paralel: portal principal, portaluri de specialitate, servicii de formulare, pagini ale unor departamente și instituții individuale. De obicei sunt implicați mai mulți prestatori. În ziua avertismentului, pentru multe administrații pur și simplu nu era posibil să obțină în câteva ore un nivel de patch dovedit pentru fiecare sistem. Oprirea preventivă a fost, în această situație, cea mai rapidă cale de a urma recomandarea BSI.
Pentru companiile cu un peisaj IT crescut organic, situația este adesea similară. Întrebarea „Este totul actualizat?” nu eșuează din cauza tehnicii, ci din lipsa unei imagini de ansamblu.
Remarcabil este și cât de repede au revenit, potrivit relatărilor, site-urile landului Hessa: încă în seara aceleiași zile. Aceasta arată că o oprire preventivă nu trebuie să dureze zile întregi. Cine își cunoaște sistemele și stăpânește calea de actualizare poate aplica patchul, verifica și reveni online în câteva ore. Oprirea acoperă atunci doar timpul până când există claritate.
Când are sens o oprire preventivă pentru companii
Autoritățile se află într-o situație specială: multe site-uri, adesea administrate distribuit, și vizibilitate publică ridicată. Cântărirea cu care s-au confruntat este însă aceeași ca în orice companie. Prezentarea următoare ajută la decizie:
| Situație | Mai degrabă opriți | Mai degrabă lăsați online |
|---|---|---|
| Nivel de patch | neclar sau neconfirmat | corectat și dovedit, procese repornite |
| Versiune PHP | 8.1 sau mai veche, fără backport confirmat | ramură suportată, la zi |
| Mod de operare | Apache cu mod_php | PHP-FPM actualizat, cu măsuri provizorii setate |
| Date pe server | date ale clienților, autentificări, date de plată | conținut pur static |
| Disponibilitatea prestatorului | patchul este posibil abia în câteva zile | patchul este programat în scurt timp |
Cântărirea între actualizare, oprire și așteptare o aprofundează articolul Actualizați, opriți sau așteptați?. Ce este posibil tehnic ca soluție de tranziție atunci când actualizarea lipsește încă se află la Măsuri imediate fără patch.
Oprirea temporară a unui magazin sau a unui portal pentru clienți costă venituri. Un server compromis cu date ale clienților poate costa semnificativ mai mult, până la obligații de notificare. Luați decizia în mod conștient și consemnați-o în scris.
Cum pregătiți o oprire
Mainz a arătat ce contează: administrația a rămas accesibilă pe alte canale. Aceasta reușește doar dacă este pregătită. Acești pași merită făcuți înainte de următorul caz grav:
- Țineți la îndemână o pagină de urgență: o pagină HTML statică, fără PHP, cu o scurtă explicație, contact telefonic și prin e-mail și, la nevoie, indicații privind comenzile sau programările în curs.
- Stabiliți calea de comutare: Cine poate redirecționa site-ul către pagina de urgență, prin serverul web, DNS sau un serviciu plasat în față? Cât durează?
- Clarificați competența decizională: Cine are voie să dispună o oprire, inclusiv în afara orelor de program?
- Cunoașteți serviciile dependente: Depind de site interfețe, aplicații sau parteneri? Cine trebuie informat în prealabil?
- Definiți criteriile de revenire: patch dovedit, repornire efectuată, prima verificare a urmelor fără constatări.
- Formulați dinainte mesajul: două-trei propoziții pentru clienți, parteneri și presă.
Cum comunicați spre exterior într-o astfel de situație descrie ghidul despre comunicarea de criză.
Cum ajută PHP SOS concret?
- Bază de decizie: Stabilim nivelul de patch, modul de operare și situația datelor serverelor dumneavoastră și vă oferim o evaluare clară dacă este indicată o oprire.
- Oprire ordonată: Comutăm pe o pagină de urgență statică, fără a pierde loguri sau urme.
- Patch și verificare: Actualizăm PHP, repornim toate procesele și verificăm dacă există lucruri neobișnuite.
- Revenire controlată: Aducem site-ul din nou online abia când criteriile convenite sunt îndeplinite și documentate.
Desfășurarea o descrie asistența de urgență PHP2Shell.
Concluzie
Opririle autorităților nu au fost un semn de pierdere a controlului, ci o măsură de precauție asumată. Pentru companii, aceasta este adevărata lecție: a ieși offline este o decizie legitimă atunci când nivelul de patch este neclar. Cine și-a pregătit pagina de urgență, responsabilitatea și criteriile de revenire o ia în minute, nu în ore.
Întrebări frecvente
De ce au fost oprite site-urile autorităților din cauza PHP?
BSI (Oficiul Federal German pentru Securitatea Informațiilor) recomandă la PHP2Shell actualizarea imediată și, dacă aceasta nu este posibilă imediat, scoaterea temporară a serverelor web din rețea. Mai multe autorități au urmat preventiv această recomandare, până când sistemele lor au fost verificate și actualizate.
Înseamnă un site oprit că a fost compromis?
Nu. O oprire preventivă este o măsură de protecție. Cancelaria de Stat din Hessa, de exemplu, nu a raportat explicit niciun atac, potrivit hessenschau. Dacă un server a fost afectat înainte de oprire poate clarifica doar o verificare.
Cât timp ar trebui să rămână un site offline?
Până când PHP se află într-o versiune corectată, toate procesele PHP au fost repornite, iar o primă verificare a urmelor nu a evidențiat nimic neobișnuit. Nu există o durată fixă; site-urile guvernului landului Hessa erau din nou accesibile, potrivit relatărilor, în seara aceleiași zile.
Ce arăt vizitatorilor cât timp site-ul este offline?
Cel mai bine o pagină de urgență simplă, statică, fără PHP, cu o scurtă explicație și căile de contact prin care rămâneți accesibil. Ea ar trebui pregătită înainte de a fi nevoie de ea.