Spalio 21 d. paskelbus informaciją apie dvi kritines „PHP2Shell“ spragas, organizacijoms teko skubiai tikrinti sistemas ir diegti saugumo atnaujinimus. Tam tikromis sąlygomis šios spragos gali leisti užpuolikui nuotoliniu būdu vykdyti komandas serveryje net neturint prisijungimo duomenų. Vos po penkių dienų JAV Kibernetinio saugumo ir infrastruktūros saugumo agentūra (CISA) abi spragas įtraukė į aktyviai išnaudojamų pažeidžiamumų katalogą. Tai rodo, kad šios spragos naudojamos realiose kibernetinėse atakose.
Mūsų pakartotiniai Lietuvos interneto svetainių vertinimai atskleidžia nevienodą organizacijų pasirengimą. Dalis sistemų atnaujintos per kelias dienas, tačiau kitose vis dar aptinkama PHP versijų, kurių oficialus saugumo palaikymas baigėsi prieš daugelį metų, o tam tikrais atvejais – net prieš dešimtmetį. Tokių sistemų yra tiek viešajame, tiek privačiajame sektoriuje, įskaitant švietimo, sveikatos priežiūros ir finansinių paslaugų sritis.
Svarbu pabrėžti, kad sena viešai deklaruojama PHP versija savaime neįrodo, jog sistema pažeidžiama. Kai kurie tiekėjai saugumo pataisas perkelia į senesnes versijas nekeisdami jų numerių, o rizika priklauso ir nuo serverio konfigūracijos. Vis dėlto tokie rezultatai kelia klausimų dėl sistemų priežiūros ir atnaujinimo procesų.
Susiję straipsniai
Atakų mastas auga itin greitai
Pasauliniai duomenys rodo, kad užpuolikai reagavo operatyviai Pasaulinė kibernetinio saugumo paslaugų bendrovė „Cloudflare“ skelbė, kad po informacijos apie spragas paviešinimo jos tinkle fiksuotų išnaudojimo bandymų skaičius per kelias valandas išaugo nuo tūkstančių iki šimtų tūkstančių, o vėliau pasiekė milijonus.
Kibernetinio saugumo bendrovė „Check Point Research“ spalio 22 d. skelbė, kad su „PHP2Shell“ susijusių išnaudojimo bandymų aptikta 10 proc. jų stebimų organizacijų pasaulyje, Europoje – 14 proc. Patikimo viešo skaičiaus, kiek Lietuvos svetainių buvo sėkmingai įsilaužta dėl šių konkrečių spragų ir kokia finansinė žala padaryta, kol kas nėra. Tačiau pasauliniai signalai rodo, kad delsti pavojinga.
Viena didžiausių klaidų reaguojant į kritinį pažeidžiamumą – laikyti darbą baigtu vos įdiegus pataisą. Ji gali užkirsti kelią tolesniam išnaudojimui, tačiau neparodo, ar užpuolikas nebuvo spėjęs įsitvirtinti sistemoje anksčiau. Todėl būtina peržiūrėti serverio įvykių žurnalus, patikrinti, ar neatsirado nepažįstamų failų, administratoriaus paskyrų ar įtartinų procesų. Kilus įtarimų, reikalingas išsamesnis incidento tyrimas, o ne vien programinės įrangos atnaujinimas.
Šis atvejis parodė ir kitą problemą – organizacijos ne visada žino, kokios technologijos naudojamos jų svetainėse. Pavyzdžiui, svetainę gali prižiūrėti vienas tiekėjas, serverį – kitas, o pati organizacija gali net nežinoti, kokia PHP versija ten veikia. Kai paskelbiama apie kritinę saugumo spragą, prasideda skubus aiškinimasis, kas už ką atsakingas ir kas turi pasirūpinti atnaujinimu. O kol tai išsiaiškinama, laikas eina, o rizika didėja.
Organizacijoms pirmiausia rekomenduočiau sudaryti tikslų naudojamų sistemų ir jų priklausomybių sąrašą, nustatyti, kur veikia PHP, ir patikrinti, ar reikiamos saugumo pataisos įdiegtos. Jei sistemos nebegalima atnaujinti, reikėtų riboti jos pasiekiamumą ir suplanuoti migraciją į palaikomą technologiją.
Kibernetinio saugumo požiūriu dvi savaitės yra ilgas laikas. Per jas organizacijos gali pašalinti pažeidžiamumą, tačiau užpuolikai taip pat gali suspėti pasinaudoti spraga. Organizacijoms, kurių sistemose vis dar veikia senos PHP versijos, šis incidentas yra proga įvertinti ne tik konkrečią spragą, bet ir tai, kaip ateityje bus valdomos panašios rizikos.
Teksto autorius yra „Telia“ kibernetinio saugumo ekspertas Darius Povilaitis.