PHP zakrpa stiže danas: dvije kritične ranjivosti ocijenjene su s 9,2 od 10

PHP bi danas trebao dobiti sigurnosnu zakrpu za dvije kritične ranjivosti. Programeri su u utorak objavili upozorenje i naveli da obje imaju ocjenu ozbiljnosti 9,2 od 10. Ako zakrpu nije moguće odmah primijeniti, neke sigurnosne agencije preporučuju privremeno isključivanje sustava s interneta.

Zakrpa se očekuje danas u 10 sati po istočnoameričkom vremenu. PHP tim navodi da je može objaviti i ranije, ako detalji o ranjivosti postanu javni ili ako se iskorištavanje već događa. Korisnicima poručuju da nadograde čim zakrpa bude dostupna.

Prema sigurnosnoj tvrtki watchTowr, riječ je o ranjivostima koje omogućuju Remote Code Execution, a navodno utječu na svaku verziju PHP-a od PHP-a 5 nadalje. Napadač bi tako mogao pokretati vlastiti kod na pogođenim serverima, mijenjati web stranice i krasti podatke.

Učinak bi mogao biti velik. Jedan sigurnosni istraživač procijenio je da je pogođeno više od 1,3 milijuna hostova spojenih na internet. Wordfence upozorava da su ranjive i sve WordPress stranice jer rade na serverima s PHP-om, a WordPress je prošle godine objavio da pokreće više od 40 posto interneta.

Wordfence dodaje da se popravak ne može instalirati automatskim updateom. Vlasnici stranica moraju provjeriti tko održava PHP i zakrpu primijeniti ručno. Europski CERT i britanski NCSC preporučili su tvrtkama koje ne mogu odmah zakrpati sustave da javno dostupne aplikacije odvoje od mreže ili ih privremeno ugase.

GrapheneOS je već privremeno isključio svoj forum, a u Sansecu očekuju masovne napade unutar 15 minuta od objave zakrpe. Cloudflare navodi da već vidi rane napade i da privremeno mijenja firewall pravila dok zakrpa ne stigne.