Критическая уязвимость в PHP
В PHP, на котором работает куча сайтов, обнаружили критическую уязвимость. Из-за этого во многих странах отключили часть государственных сайтов из-за угрозы безопасности.
НАЦИОНАЛЬНОЕ АГЕНТСТВО БЕЗОПАСНОСТИ США
Агентство призвало организации, использующие PHP, «быть готовыми к обновлению, устраняющему две критические уязвимости», предупредив, что такие уязвимости часто предоставляют «прямой доступ к файловой системе или базе данных сервера».
В сообщении на X агентство указало, что организации, не имеющие возможности выполнить обновление немедленно, должны отключить уязвимые системы до полного устранения проблемы, добавив, что «в ближайшее время предоставит более конкретные рекомендации».ГЕРМАНИЯ
Представитель министерства цифровых технологий Германии сообщил агентству Reuters в среду, что федеральный поставщик ИТ-услуг ITZBund отключил несколько веб-сайтов из-за обнаружения уязвимостей в PHP. По его словам, временное отключение носило чисто профилактический характер, и о каких-либо инцидентах безопасности не сообщалось.ФРАНЦИЯ
Министерство внутренних дел сообщило, что временно отключило веб-сайты префектур — административных органов местного самоуправления — в ожидании исправления уязвимостей в используемом ими фреймворке PHP. В ведомстве пояснили, что эта мера была принята в качестве меры предосторожности до появления патча от разработчика фреймворка.БЕЛЬГИЯ
Министерство иностранных дел Бельгии сообщило, что временно отключило свои веб-сайты после появления сообщений о кибератаках, использующих уязвимости PHP, хотя национальный центр кибербезопасности заявил, что не зафиксировал никаких атак на бельгийские сайты.НИДЕРЛАНДЫ
Многие организации последовали примеру Национального центра кибербезопасности и в профилактических целях отключили свои общедоступные сайты. Среди них были порт Роттердама, правительственный сайт Overheid.nl, национальная футбольная ассоциация KNVB, сайты пяти крупнейших политических партий и многочисленные сайты больниц по всей стране.ФИНЛЯНДИЯ
Государственный ИТ-центр Valtori в среду отключил общедоступные веб-сервисы правительства в качестве «меры предосторожности». В Valtori заявили, что не выявили никаких попыток использования этих уязвимостей и что отключение не было связано с утечкой данных.
Исправление обещают выпустить сегодня, но оно будет доступно только для новых версий программного обеспечения. Так что, кстати, многие старые сайты могут так и не возобновить работу имейте это в виду.
Как же быть, если хочется бухнуть?!
P.S. А, про обновления сертификатов говорят... Мне после этого как раз куки подтвердить и залогиниться пришлось снова.
arstechnica.com
Тогда рекомендую почитать раздел Mitigation в описании уязвимостей - там есть рекомендации, как хотя бы уменьшить риск.
А таких миллионы.
Ну а кто из пакетов ставит - думаю, и сами знают где обновления брать.
Однако в природе существует такая весьма неприятная, но, увы, сплошь и рядом неизбежная штука, как легаси код.
А разработчики PHP имеют милую привычку регулярно ломать обратную совместимость, что делает перетаскивание означенного кода на свежую версию не самой простой задачей.
