Lyhyesti: CERT-EU neuvoo raporttien mukaan kartoittamaan PHP-asennukset, päivittämään heti ja eristämään julkisesti tavoitettavat sovellukset, jos niitä ei voi päivittää ajoissa. CERT-Bund (Saksan valtion CERT) ja BSI (Saksan liittovaltion tietoturvavirasto) suosittelevat varoituksessaan välitöntä päivitystä ja, jos se ei onnistu, alttiiden verkkopalvelinten väliaikaista ottamista pois verkosta. Suositukset kohtaavat ytimeltään: päivitys ensin, eristäminen hätäratkaisuna, väliaikaistoimet vain täydennyksenä.
Kuka varoittaa, ja kenelle?
PHP2Shellin kohdalla useat viralliset tahot reagoivat muutamassa tunnissa. Saksan yrityksille BSI ja sen tietoturvapoikkeamiin vastaava ryhmä CERT-Bund on ensimmäinen osoite. CERT-EU on EU:n toimielinten kyberturvallisuuspalvelu; sen ohjeet on osoitettu ensisijaisesti niille, mutta niitä luetaan koko Euroopassa. BleepingComputerin mukaan myös brittiläinen National Cyber Security Centre on varoittanut. Yksityiseltä sektorilta ääneen pääsivät muun muassa Huntress ja Cloudflare.
Ylläpitäjälle alkuperä on vähemmän tärkeä kuin yhteensopivuus. Kun useat riippumattomat tahot suosittelevat samaa, se on vahva signaali.
CERT-Bund, CERT-EU ja muut: PHP-varoitukset vertailussa
| Taho | Ydinsuositus | Erityispiirre |
|---|---|---|
| BSI / CERT-Bund | päivittäkää heti, muuten verkkopalvelin väliaikaisesti pois verkosta | varoitustaso 3 / oranssi |
| CERT-EU | kartoittakaa PHP-asennukset, päivittäkää heti, muuten eristäkää julkiset sovellukset | piti raporttien mukaan mahdollisena, että versiot PHP 5:stä alkaen ovat alttiita |
| UK NCSC | päivittäkää heti tai ottakaa alttiit järjestelmät pois verkosta korjaukseen asti | BleepingComputerin mukaan |
| php.net | päivittäkää versioon 8.5.12, 8.4.27, 8.3.36 tai 8.2.35, väliaikaistoimet vain osasuojana | ensisijainen lähde versioille ja asetuksille |
Mikään taho ei suosittele luottamaan pelkkään Web Application Firewalliin tai php.ini-asetuksiin. Kaikki mainitsevat päivityksen todellisena ratkaisuna. Mitä BSI suosittelee tämän lisäksi yksityiskohtaisesti, kerrotaan sivulla Mitä BSI suosittelee PHP2Shellistä.
Versiokysymys: mitä ”PHP 5:stä alkaen” tarkoittaa
CERT-EU piti raporttien mukaan mahdollisena, että versiot PHP 5:stä alkaen ovat alttiita. Tässä taho tukeutui ammattiraporttien mukaan tietoihin, jotka kiertelivät ennen virallista ilmoitusta. Ammattilehdistö puhuu lähes kaikista versioista aina PHP 5.4:ään asti.
Käytännössä tarkka raja muuttaa vähän. Versioille PHP 8.1 ja vanhemmat PHP-projekti ei enää toimita virallisia päivityksiä. Versioille 7.4, 8.0 ja 8.1 on olemassa minimaaliset lähdekoodin backportit mutta ei julkaisuja. Joka vielä ylläpitää PHP 5:tä tai 7:ää, on jakelujen, kolmansien osapuolten tai migraation varassa. Onko jakelunne toimittanut korjauksen, näkyy niiden omilta tietoturvasivuilta, esimerkiksi Debian Security Trackerista, Ubuntu Security Noticeista tai Red Hatin ilmoituksista. Vanhoille PHP-versioille on myös kaupallisia pitkän tuen tarjouksia; kattavatko ne PHP2Shellin, kannattaa pyytää palveluntarjoajalta kirjallinen vahvistus. Yksityiskohtia haaroista löytyy kohdista Mitkä PHP-versiot ovat alttiita? ja PHP 8.1 ja vanhemmat.
Eristäminen: näin suositus toteutetaan
”Eristäminen” kuulostaa abstraktilta. Tarkoitus on, etteivät pyynnöt internetistä enää tavoita haavoittuvaa PHP-sovellusta. Sovelluksesta riippuen on useita tasoja:
- Sulkeminen kokonaan: Verkkosivusto korvataan staattisella hätäsivulla ilman PHP:tä. Tämä on turvallisin vaihtoehto.
- Pääsyn rajoittaminen: Sovellus pysyy käytössä, mutta on tavoitettavissa enää vain VPN:n kautta tai määritetyistä IP-osoitteista, esimerkiksi sisäisissä portaaleissa.
- Esikytketty kirjautuminen: Kirjautuminen verkkopalvelimen tai välityspalvelimen tasolla ennen sovellusta. Huomio: mod_php:lla hyökkäys on osoitettu ennen kuin sovelluskoodi käynnistyy. Kirjautumisen on siksi tapahduttava ennen PHP:tä, ei sovelluksessa.
- Suora pääsy alkuperäpalvelimelle estettävä: Joka käyttää välityspalvelua tai CDN-palvelua, varmistakoon, ettei palvelin ole lisäksi tavoitettavissa suoraan.
Rajoitus verkkopalvelimessa voi näyttää esimerkiksi tältä vaarattomana Apache-konfiguraationa:
# Salli pääsy vain sisäverkosta (muokkaa esimerkkialue)
<Location "/">
Require ip 192.0.2.0/24
</Location>
Testatkaa vaikutus ulkoa, esimerkiksi matkapuhelinyhteydellä. Eristäminen, joka on tarkistettu vain toimistoverkossa, ei ole tarkistettu eristäminen.
Eristäminen on silta. Päättäkää eristäessänne heti, mihin mennessä päivitys tulee ja kuka sen asentaa. Muuten hätäratkaisusta tulee pysyvä tila.
Mitä suositukset yhdessä edellyttävät: luettelon
Kaikki viralliset tahot olettavat, että tiedätte, missä PHP toimii. Juuri tähän monet yritykset kompastuvat: vanhojen kampanjoiden mikrosivustot, unohdettu asiakasportaali, testijärjestelmä julkisella osoitteella, sovellus NAS-laitteella. CERT-EU mainitsee PHP-asennusten kartoittamisen nimenomaisesti ensimmäisenä vaiheena.
Unohdetut järjestelmät löytää todennäköisimmin kolmea tietä: verkkotunnustenne DNS-vyöhykkeistä, myönnettyjen TLS-varmenteiden luettelosta sekä toimistojen, hosting-yritysten ja ohjelmistotoimittajien sopimuksista. Jokainen merkintä, jonka takana olevaa ei kukaan osaa heti sanoa, kuuluu tarkistuslistalle. Juuri tällaiset järjestelmät ovat PHP2Shellin kaltaisessa tilanteessa vaarallisia, koska kukaan ei päivitä niitä eikä kukaan huomaa niiden puuttuvan, kun ne vaarantuvat.
Käyttökelpoinen luettelo sisältää järjestelmää kohti: osoitteen, käyttötarkoituksen, ylläpitäjän, PHP-version ja ajotavan, pakettien lähteen sekä päivitysten yhteyshenkilön. Miten sen rakennatte ja pidätte ajan tasalla, näyttää artikkeli Kaikkien verkkosivustojen ja palvelimien luettelo.
Miten PHP SOS auttaa konkreettisesti?
- Kartoitus: Selvitämme julkisesti tavoitettavat PHP-järjestelmänne ja asetamme ne riskin mukaiseen järjestykseen.
- Päivitys tai eristäminen: Asennamme päivitykset tai eristämme sovellukset, joita ei voi päivittää heti, ja tarkistamme vaikutuksen ulkoa.
- Vanhat versiot: PHP 8.1:n ja vanhempien järjestelmien osalta suunnittelemme kanssanne tien tuettuun tilaan.
- Todiste: Saatte dokumentaation toteutetuista suosituksista järjestelmäkohtaisesti.
Miten tuomme vanhat sovellukset tuetuille versioille, kuvaa palvelu PHP-migraatio vanhoille järjestelmille.
Yhteenveto
CERT-EU, CERT-Bund, BSI ja PHP-projekti puhuvat yhdellä äänellä: päivittäkää, ja missä se ei onnistu heti, eristäkää. Erot ovat yksityiskohdissa, kuten versiorajassa. Käytäntönne kannalta ratkaisee ensimmäinen vaihe, jonka kaikki edellyttävät: tietää, missä kaikkialla PHP toimii.
Usein kysytyt kysymykset
Mitä eroa on CERT-Bundilla ja CERT-EU:lla?
CERT-Bund on BSI:n yhteydessä toimiva tietoturvapoikkeamiin vastaava ryhmä, joka varoittaa haavoittuvuuksista Saksassa. CERT-EU on Euroopan unionin toimielinten ja elinten kyberturvallisuuspalvelu. Molemmat antavat suosituksia, joista on hyötyä myös yrityksille.
Mitä PHP-sovelluksen eristäminen tarkoittaa?
Sovellus ei sen jälkeen ole vapaasti tavoitettavissa internetistä. Se onnistuu hätäsivulla, pääsyllä vain VPN:n tai tiettyjen IP-osoitteiden kautta tai sulkemalla kokonaan. Ratkaisevaa on, etteivät ulkoa tulevat pyynnöt enää tavoita haavoittuvaa PHP-prosessia.
Koskeeko CERT-EU:n mukaan haavoittuvuus myös PHP 5 -versioita?
CERT-EU piti raporttien mukaan mahdollisena, että versiot PHP 5:stä alkaen ovat alttiita, ja tukeutui tietoihin, jotka kiertelivät ennen virallista ilmoitusta. Ammattilehdistö mainitsee lähes kaikki versiot PHP 5.4:ään asti. Näin vanhoille versioille ei ole virallisia päivityksiä.
Onko hyökkäyksille virallisia tunnusmerkkejä?
Ei. PHP2Shellistä ei toistaiseksi ole julkaistuja, vahvistettuja Indicators of Compromise -tunnisteita. Havaitseminen perustuu käyttäytymisanalyysiin, esimerkiksi verkkopalvelimen prosesseihin, jotka käynnistävät shellejä, tai uusiin PHP-tiedostoihin upload-kansioissa.