Milliósra nőtt a PHP-hibák elleni támadási kísérletek száma a Cloudflare szerint
Néhány óra alatt több millióra nőtt a javítatlan PHP-kiszolgálók elleni támadási kísérletek száma Matthew Prince, a Cloudflare vezérigazgatója szerint. A PHP két kritikus hibájához már elérhető javítás: mindkettő hitelesítés nélkül teszi lehetővé a távoli kódfuttatást.
Már a nyilvánosságra hozatal előtt is próbálkoztak
Prince beszámolója szerint a hibák nyilvánosságra hozatalát megelőző 10 órában több ezer kihasználási kísérletet észleltek. A bejelentést követő 45 percben ez tízezrekre, két órán belül pedig százezrekre nőtt. A vezérigazgató későbbi helyzetjelentése már milliós nagyságrendről szólt.
Ezek az adatok támadási kísérleteket jelölnek, nem sikeresen feltört weboldalak számát. A beszámoló a javítatlan PHP-kiszolgálókat célzó próbálkozásokról szól.
A két hiba hitelesítés nélkül is kihasználható
A sebezhetőségek súlyossági pontszáma 9,2/10. Mindkettő távoli kódfuttatást enged, és kihasználásukhoz nincs szükség hitelesítésre. A forrás becslése szerint a weboldalak mintegy 70%-a PHP-t futtat.
Az érintetteket arra szólították fel, hogy mielőbb telepítsék a javításokat. A Google Cloud külön útmutatást is kiadott a PHP-t használó alkalmazások frissítéséhez. Az ott szükséges lépések az igénybe vett felhős szolgáltatástól függnek.
Négy PHP-ághoz érkezett javítás, a 8.1-hez már nem
A hibákat a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 kiadásában javították. A forrás ezek valamelyikére való mielőbbi frissítést javasolja az érintett rendszereken.
A PHP 8.1 és a régebbi változatok nem kaptak biztonsági javítást ehhez a két sebezhetőséghez. Ezek használóinak támogatott verzióra kell áttérniük a beszámoló ajánlása szerint.
A PHP letöltési oldalán a forráskód mellett a Windows rendszerhez készült bináris csomagok is megtalálhatók. A Linux-disztribúciók és a hosszú távú támogatást nyújtó szállítók előzetesen megkapták a javításokat. A forrás ezért a Linux rendszerrel weboldalt kiszolgálóknak a rendszerhez elérhető frissítések telepítését is javasolja.
Ha nem lehet rögtön frissíteni, az NCSC leállítást javasol
Az Egyesült Királyság NCSC szervezete azt ajánlja, hogy átmenetileg tegyék elérhetetlenné az érintett weboldalt, ha a javítást nem lehet azonnal telepíteni. Ez az ajánlás kifejezetten a frissítésig tartó időszakra vonatkozik.
A beszámoló szerint több weboldal követte ezt a tanácsot, és a karbantartás idejére felfüggesztette az elérhetőségét.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum