Americká Národní bezpečnostní agentura (NSA) nedávno vydala naléhavé varování ohledně dvou závažných zranitelností objevených v PHP, serverovém programovacím jazyce, který je klíčový pro přibližně 70 % webových stránek na internetu, včetně populárních systémů pro správu obsahu jako WordPress. Tyto kritické chyby, na které již PHP Foundation vydala opravy, umožňují útočníkům proniknout do souborového systému serveru nebo databáze používané webovou aplikací.
Je pozoruhodné, že tyto zranitelnosti existovaly ve všech verzích PHP již od verze 5, vydané v roce 2004. NSA upozornila, že pokud nelze web okamžitě aktualizovat, měl by být stažen z provozu. Pro weby, které nepoužívají relativně aktuální verze PHP, je nezbytné provést aktualizaci, jelikož verze PHP 8.1 a starší již nejsou podporovány. Doporučuje se aktualizovat webový server na aktuální stabilní verzi PHP.
Jak se tedy stalo, že takto zásadní a desetiletí staré chyby, ovlivňující téměř každý web na internetu, vyšly najevo právě teď? K jejich odhalení přispěly pokročilé analytické nástroje a techniky. Skupiny bezpečnostních výzkumníků, využívající sofistikované systémy pro analýzu kódu, nezávisle identifikovaly tyto slabiny v rámci iniciativ zaměřených na hledání chyb v open-source softwaru.
Výzkumníci postupovali podle principů odpovědného zveřejňování zranitelností a spolupracovali s PHP Foundation na vývoji a testování oprav, než byly informace veřejně oznámeny. Do procesu se zapojila široká škála dalších subjektů z oblasti technologií a bezpečnosti, aby zajistily robustnost a účinnost záplat.
Tyto zranitelnosti byly nalezeny výzkumníky ještě předtím, než byly zneužity hackery, což znamená, že nebyly hlášeny žádné aktivní útoky. To je částečně dáno i tím, že před nástupem pokročilých nástrojů pro analýzu kódu bylo pro útočníky tyto chyby obtížné zneužít. Nicméně, s dostupností těchto nástrojů se tato bariéra snižuje, což potenciálně usnadňuje adaptaci exploitů pro různé verze a konfigurace PHP. Jinými slovy, jde o typ bezpečnostního problému, který byl sice díky těmto nástrojům odhalen a prevence umožněna, ale zároveň představuje vysoké riziko právě kvůli jejich existenci.
Máte nápad na web nebo aplikaci?
Proberme ho spolu — nezávazně, bez tlaku a s konkrétním doporučením dalšího kroku.
Nyní, když je problém veřejně znám, je pro internetovou komunitu závodem v čase záplatovat desítky milionů webových stránek dříve, než se hackeři pokusí zneužít ty neopravené. Odtud pramení doporučení NSA, že pokud nelze PHP web okamžitě aktualizovat, je bezpečnější jej dočasně odstavit.