Kort sagt: CERT-EU anbefaler ifølge rapporter at registrere PHP-installationer, patche straks og isolere offentligt tilgængelige applikationer, hvis de ikke kan patches rettidigt. CERT-Bund og BSI anbefaler i deres advarsel en øjeblikkelig opdatering og, hvis det ikke er muligt, midlertidigt at tage berørte webservere af nettet. Anbefalingerne stemmer i kernen overens: opdatering først, isolering som nødløsning, midlertidige foranstaltninger kun som supplement.
Hvem advarer, og for hvem?
Ved PHP2Shell har flere officielle instanser reageret inden for få timer. For virksomheder i Tyskland er BSI med sit computerberedskabshold CERT-Bund (det tyske statslige CERT) den første adresse. CERT-EU er cybersikkerhedstjenesten for EU-institutionerne; dets henvisninger henvender sig først til dem, men læses i hele Europa. Ifølge BleepingComputer har også det britiske National Cyber Security Centre advaret. Fra den private sektor meldte bl.a. Huntress og Cloudflare sig.
For jer som driftsansvarlige er oprindelsen mindre vigtig end overensstemmelsen. Når flere uafhængige instanser anbefaler det samme, er det et stærkt signal.
CERT-Bund, CERT-EU og flere: PHP-advarslerne sammenlignet
| Instans | Kerneanbefaling | Særtræk |
|---|---|---|
| BSI / CERT-Bund | opdatér straks, ellers webserverne midlertidigt af nettet | advarselsniveau 3 / orange |
| CERT-EU | registrér PHP-installationer, patch straks, ellers isolér offentlige applikationer | anså ifølge rapporter versioner fra og med PHP 5 for muligt berørt |
| UK NCSC | opdatér straks, eller tag berørte systemer af nettet indtil patchen | ifølge BleepingComputer |
| php.net | opdatér til 8.5.12, 8.4.27, 8.3.36 eller 8.2.35, midlertidige foranstaltninger kun som delvis beskyttelse | primær kilde til versioner og indstillinger |
Ingen af instanserne anbefaler udelukkende at satse på en Web Application Firewall eller på indstillinger i php.ini. Alle nævner opdateringen som den egentlige løsning. Hvad BSI ud over det nærmere anbefaler, står på siden Hvad BSI anbefaler om PHP2Shell.
Versionsspørgsmålet: Hvad „fra og med PHP 5“ betyder
CERT-EU anså ifølge rapporter for muligt, at versioner fra og med PHP 5 er berørt. Instansen støttede sig dermed ifølge faglige rapporter til oplysninger, der cirkulerede før den officielle meddelelse. Fagpressen taler om næsten alle versioner helt tilbage til PHP 5.4.
Praktisk ændrer den nøjagtige grænse lidt. Til PHP 8.1 og ældre leverer PHP-projektet ikke længere officielle opdateringer. Der findes minimale kildekode-backports til 7.4, 8.0 og 8.1, men ingen udgivelser. Den, der stadig driver PHP 5 eller 7, er henvist til distributioner, tredjepartsudbydere eller en migrering. Om jeres distribution har leveret en rettelse, viser deres egne sikkerhedssider, f.eks. Debian Security Tracker, Ubuntu Security Notices eller henvisningerne fra Red Hat. Kommercielle langtidstilbud til gamle PHP-versioner findes ligeledes; om de dækker PHP2Shell, bør I lade jer bekræfte skriftligt af udbyderen. Enkeltheder om grenene står under Hvilke PHP-versioner er berørt? og PHP 8.1 og ældre.
Isolering: Sådan gennemfører I anbefalingen
„Isolering“ lyder abstrakt. Ment er, at forespørgsler fra internettet ikke længere når den sårbare PHP-applikation. Afhængigt af applikationen findes der flere trin:
- Luk helt ned: Websitet erstattes af en statisk nødside uden PHP. Det er den sikreste variant.
- Begræns adgangen: Applikationen forbliver i drift, men er kun tilgængelig via VPN eller for fastlagte IP-adresser, f.eks. for interne portaler.
- Foranstillet login: Et login på webserver- eller proxyniveau før applikationen. Pas på: Ved mod_php blev der vist en exploit, før applikationskode kører. Login skal derfor gribe ind før PHP, ikke i applikationen.
- Spær direkte adgang til oprindelsen: Den, der bruger en proxy- eller CDN-tjeneste, bør sikre, at serveren ikke desuden er direkte tilgængelig.
En begrænsning i webserveren kan se sådan ud, som en ufarlig konfiguration til Apache:
# Tillad kun adgang fra det interne net (tilpas eksempelområdet)
<Location "/">
Require ip 192.0.2.0/24
</Location>
Test virkningen udefra, f.eks. via en mobilforbindelse. En isolering, der kun er afprøvet i kontornettet, er ikke en afprøvet isolering.
Isolering er en overgangsløsning. Fastlæg allerede ved isoleringen, hvornår opdateringen kommer, og hvem der indspiller den. Ellers bliver nødløsningen en permanent tilstand.
Hvad anbefalingerne i fællesskab forudsætter: et inventar
Alle officielle instanser forudsætter, at I ved, hvor PHP kører. Netop det går galt i mange virksomheder: microsites fra gamle kampagner, et glemt kundeportal, et testsystem med offentlig adresse, en applikation på en NAS. CERT-EU nævner udtrykkeligt registreringen af PHP-installationer som første trin.
Glemte systemer finder I lettest på tre måder: DNS-zonerne for jeres domæner, listen over udstedte TLS-certifikater og kontrakterne med bureauer, hostingudbydere og softwareleverandører. Enhver post, hvor ingen straks kan sige, hvad der kører bagved, hører på kontrollisten. Netop sådanne systemer er farlige i en situation som PHP2Shell, fordi ingen patcher dem, og ingen savner dem, hvis de bliver kompromitteret.
Et brugbart inventar indeholder for hvert system: adresse, formål, driftsansvarlig, PHP-version og driftsform, pakkernes kilde og kontaktpersonen for opdateringer. Hvordan I opbygger og vedligeholder det, viser indlægget Inventar over alle websites og servere.
Hvordan hjælper PHP SOS konkret?
- Registrering: Vi opgør jeres offentligt tilgængelige PHP-systemer og rangordner dem efter risiko.
- Patch eller isolering: Vi indspiller opdateringer eller isolerer applikationer, der ikke kan patches straks, og kontrollerer virkningen udefra.
- Gamle versioner: For systemer med PHP 8.1 og ældre planlægger vi sammen med jer vejen til en understøttet status.
- Dokumentation: I modtager en dokumentation af de gennemførte anbefalinger for hvert system.
Hvordan vi bringer gamle applikationer op på understøttede versioner, beskriver ydelsen PHP-migrering af legacy-systemer.
Konklusion
CERT-EU, CERT-Bund, BSI og PHP-projektet taler med én stemme: opdatér, og hvor det ikke straks er muligt, isolér. Forskellene ligger i detaljer som versionsgrænsen. For jeres praksis tæller det første trin, som alle forudsætter: at vide, hvor PHP overhovedet kører.
Ofte stillede spørgsmål
Hvad er forskellen på CERT-Bund og CERT-EU?
CERT-Bund er computerberedskabsholdet hos BSI (det tyske forbundsagentur for informationssikkerhed) og advarer i Tyskland mod sårbarheder. CERT-EU er cybersikkerhedstjenesten for Den Europæiske Unions institutioner og organer. Begge udsender anbefalinger, som også er nyttige for virksomheder.
Hvad vil det sige at isolere en PHP-applikation?
Applikationen er derefter ikke længere frit tilgængelig fra internettet. Det er muligt ved en nødside, ved adgang kun via VPN eller bestemte IP-adresser eller ved fuldstændig nedlukning. Afgørende er, at forespørgsler udefra ikke længere når den sårbare PHP-proces.
Er ifølge CERT-EU også PHP 5-versioner berørt?
CERT-EU anså ifølge rapporter for muligt, at versioner fra og med PHP 5 er berørt, og støttede sig dermed til oplysninger, der cirkulerede før den officielle meddelelse. Fagpressen nævner næsten alle versioner helt tilbage til PHP 5.4. Til så gamle versioner findes der ingen officielle opdateringer.
Findes der officielle kendetegn for angreb?
Nej. Hidtil findes der ingen offentliggjorte, bekræftede Indicators of Compromise for PHP2Shell. Opdagelsen bygger på adfærdsanalyse, f.eks. på webserverprocesser, der starter shells, eller nye PHP-filer i upload-mapper.