Više od 40 odsto sajtova suočeno je sa bezbednosnim rizikom: Otkrivene kritične PHP ranjivosti
Dva ozbiljna bezbednosna propusta u PHP-u pokrenula su upozorenja stručnjaka za sajber bezbednost, jer bi mogli da ugroze više od 40 odsto sajtova na internetu. Problem je posebno značajan zbog široke upotrebe ovog programskog jezika za izradu dinamičkih veb stranica i aplikacija. Kada se ranjivost nalazi u tehnologiji koju koristi veliki broj servera, posledice mogu da zahvate mnogo širi krug korisnika nego što bi to bio slučaj sa propustom u jednoj konkretnoj aplikaciji.
Prema podacima koje prenosi kompanija za sajber bezbednost watchTowr, ranjivosti su ocenjene sa 9,2 od maksimalnih 10 poena po ozbiljnosti. Procena ukazuje na potencijalno veliki rizik, jer bi napadači, u određenim uslovima, mogli da izvršavaju zlonamerni kod na udaljenim sistemima. To bi moglo da im omogući neovlašćen pristup serverima, izmene sadržaja internet stranica ili krađu poverljivih podataka.
Napadi mogu ugroziti servere i poverljive podatke
Opasnost ne završava se na promeni izgleda internet stranice ili njenom privremenom obaranju. Ako napadač uspe da iskoristi ranjivost za izvršavanje koda na serveru, posledice mogu biti mnogo ozbiljnije, uključujući pristup podacima koji se čuvaju u pozadini sajta. U zavisnosti od konfiguracije sistema i dodeljenih privilegija, ugroženi mogu biti i drugi servisi koji zavise od istog servera.
Prema procenama navedenim u izveštaju, oko 1,3 miliona sistema moglo bi biti neposredno izloženo riziku. To ne znači da je svaki od tih sistema već kompromitovan, već da bi mogao biti ranjiv ako koristi pogođenu konfiguraciju i nije adekvatno zaštićen. Upravo zbog te razlike važno je da administratori provere konkretne verzije softvera, dostupne zakrpe i izloženost svojih servera, umesto da čekaju da se pojave znaci napada.
WordPress sajtovi zahtevaju posebnu pažnju
PHP ima važnu ulogu u radu WordPressa, jedne od najrasprostranjenijih platformi za upravljanje sadržajem na internetu. Zbog toga je kompanija Wordfence upozorila na rizik za sajtove koji koriste ovu platformu. Ipak, stvarna izloženost pojedinačnog sajta zavisi od verzije PHP-a, načina na koji je server podešen i toga da li su dostupne bezbednosne nadogradnje već instalirane.
Vlasnici sajtova često vode računa o ažuriranju dodataka i tema, ali zanemaruju softver koji radi na samom serveru. Ovaj slučaj podseća da zaštita internet stranice ne zavisi samo od njenog vidljivog dela, već i od jezika, biblioteka, operativnog sistema i drugih komponenti koje se izvršavaju u pozadini. Redovna provera svih tih elemenata smanjuje mogućnost da jedan propust ugrozi čitavu uslugu.
Zašto se zakrpa ne instalira automatski
Jedan od glavnih problema jeste to što se bezbednosna nadogradnja za PHP ne primenjuje automatski na svim sistemima. U zavisnosti od načina instalacije i infrastrukture, administrator mora ručno da ažurira odgovarajuće pakete na serveru ili da zatraži pomoć hosting provajdera. Dok se to ne uradi, ranjiva konfiguracija može ostati izložena napadima.
Zbog ozbiljnosti rizika, bezbednosne institucije preporučile su da se ranjive veb aplikacije privremeno izoluju od javne mreže dok se zaštita ne postavi, ukoliko nije moguće odmah instalirati zakrpu. Neki servisi već su ograničili pristup preventivno kako bi smanjili mogućnost upada. Takva mera može otežati pristup legitimnim korisnicima, ali je u određenim okolnostima bezbednija od ostavljanja nezaštićenog sistema dostupnim svima.
Šta vlasnici sajtova treba odmah da urade
Prvi korak je provera verzije PHP-a koju server koristi i utvrđivanje da li je za konkretno okruženje dostupna bezbednosna zakrpa. Administratori bi trebalo da primene odgovarajuće ažuriranje što pre, a ako nemaju pristup serveru, da kontaktiraju hosting provajdera i zatraže potvrdu da je zaštita postavljena. Važno je i proveriti da li su svi relevantni serveri i povezane aplikacije obuhvaćeni istom procedurom.
Ako ažuriranje ne može odmah da se sprovede, potrebno je proceniti da li sajt treba privremeno isključiti ili ograničiti njegov pristup sa interneta. Nakon zakrpljivanja, preporučuje se pregled bezbednosnih zapisa i provera eventualnih znakova neovlašćenog pristupa, jer samo instaliranje nadogradnje ne dokazuje da ranije nije bilo napada. Brza reakcija može značajno da smanji rizik, ali je jednako važno da se zaštita servera ubuduće redovno proverava.
Zabranjeno preuzimanje dela ili čitavog teksta i/ili foto/videa, bez navođenja i linkovanja izvora i autora, a u skladu sa odredbama WMG uslova korišćenja i Zakonom o javnom informisanju i medijima.
