Már kártékony kódot futtattak a PHP php2shell hibáin keresztül
A támadási kísérletek után már sikeres kódfuttatást is dokumentáltak a PHP php2shell néven emlegetett sebezhetőségein keresztül. A CISA felvette a hibákat az ismerten kihasznált sebezhetőségek katalógusába, egy kutató pedig 35 elindított shellt rögzített a megfigyelt rendszereken.
A javítások már megjelentek
A PHP fejlesztői a múlt héten sürgős biztonsági kiadásokat tettek közzé a kritikus hibák javítására. A réseken keresztül a támadók kártékony kódot juttathatnak a rendszerre, majd futtathatják azt. Azóta milliós nagyságrendben észleltek kihasználási kísérleteket, köztük az Amazon és a Cloudflare hálózatán is.
Az érintett PHP-példányoknál a kiadott biztonsági javítások alkalmazása a teendő. A beszámoló nem sorolja fel a javított verziószámokat. A múlt héten számos szervezet elővigyázatosságból elérhetetlenné tette weboldalát a telepítés idejére; többségük azóta ismét elérhető.
Az első megfigyelések még nem bizonyítottak kódfuttatást
Adel Karimishiraz, a Perplexity észlelési és reagálási vezetője PHP-rendszereket figyelt a cég mesterséges intelligenciájának segítségével. A sebezhetőségek nyilvánosságra hozatalát követő első 26 órában már számos támadási kísérletet látott.
Ekkor 30 alkalommal lépett fel memóriahiány, és tizenegy esetben összeomlottak a feldolgozófolyamatok. Ezekből azonban még nem lehetett igazolni, hogy a bejuttatott kártékony kód valóban lefutott. A kutató szombat este először lehetséges sikeres kódfuttatásról számolt be, majd a GitHub oldalán közzétett elemzésében meg is erősítette azt.
Három megfigyelt rendszeren sikerült a támadás
Az elemzés három, PHP 8.4.26 verziót futtató megfigyelt rendszeren összesen 35 shell elindítását dokumentálta. A támadások két IP-címről érkeztek. Karimishiraz szerint a php2shell sebezhetőségein keresztül kártékony kód került ezekre a rendszerekre, és végre is hajtódott.
A CISA hétfőn vette fel a hibákat az ismerten kihasznált sebezhetőségek katalógusába. A hétvégi megfigyelések tehát már nem pusztán próbálkozásokat vagy összeomlásokat rögzítettek: a kutató sikeres kódfuttatást igazolt.
A németországi verzióadatok nem mutatják biztosan a védettséget
A Censys kedden reggel Németországban még mindig több mint 4 millió olyan szolgáltatást jelzett, amely sebezhető PHP-verzió számát mutatta. Ez németországi mérés, nem magyarországi adat.
A számhoz fontos fenntartás tartozik. A Censys maga is figyelmeztetett arra, hogy több Linux-disztribúció a régebbi verziókhoz is elkészíti a biztonsági javításokat. Emiatt a kívülről látható verziószám önmagában csak támpont: nem ad teljes képet arról, hogy egy adott példány ténylegesen sebezhető-e.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum