Fil-qosor: CERT-EU jirrakkomanda, skont rapporti, li l-installazzjonijiet ta' PHP jiġu rreġistrati, li jsir patch minnufih u li applikazzjonijiet aċċessibbli pubblikament jiġu iżolati jekk ma jistgħux jiġu ppatchjati fi żmien qasir. CERT-Bund u l-BSI fit-twissija tagħhom jirrakkomandaw aġġornament immedjat u, jekk dan ma jkunx possibbli, li s-servers tal-web affettwati jitneħħew temporanjament min-netwerk. Ir-rakkomandazzjonijiet jaqblu fil-qalba: l-ewwel l-aġġornament, l-isolazzjoni bħala soluzzjoni ta' emerġenza, miżuri temporanji biss bħala suppliment.
Min iwissi, u għal min?
B'PHP2Shell diversi entitajiet uffiċjali reaġixxew fi ftit sigħat. Għan-negozji fil-Ġermanja l-BSI bit-tim tiegħu ta' rispons għall-emerġenzi tal-kompjuter CERT-Bund huwa l-ewwel indirizz. CERT-EU huwa s-servizz taċ-ċibersigurtà tal-istituzzjonijiet tal-UE; l-indikazzjonijiet tiegħu huma indirizzati l-ewwel lil dawn, imma jinqraw madwar l-Ewropa. Skont BleepingComputer, wissiet ukoll iċ-Ċentru Nazzjonali taċ-Ċibersigurtà tar-Renju Unit. Mis-settur privat, fost l-oħrajn, tkellmu Huntress u Cloudflare.
Għalikom bħala operaturi l-oriġini hija inqas importanti mill-qbil. Meta diversi entitajiet indipendenti jirrakkomandaw l-istess, dan huwa sinjal b'saħħtu.
CERT-Bund, CERT-EU u oħrajn: it-twissijiet dwar PHP imqabbla
| Entità | Rakkomandazzjoni ewlenija | Partikolarità |
|---|---|---|
| BSI / CERT-Bund | aġġorna minnufih, inkella neħħi s-server tal-web temporanjament min-netwerk | livell ta' twissija 3 / oranġjo |
| CERT-EU | irreġistra l-installazzjonijiet ta' PHP, agħmel patch minnufih, inkella iżola l-applikazzjonijiet pubbliċi | qies, skont rapporti, possibbli li huma affettwati l-verżjonijiet minn PHP 5 |
| NCSC tar-Renju Unit | aġġorna minnufih jew neħħi s-sistemi affettwati min-netwerk sal-patch | skont BleepingComputer |
| php.net | aġġorna għal 8.5.12, 8.4.27, 8.3.36 jew 8.2.35, miżuri temporanji biss bħala protezzjoni parzjali | sors primarju għall-verżjonijiet u l-issettjar |
L-ebda waħda mill-entitajiet ma tirrakkomanda li wieħed jistrieħ biss fuq Web Application Firewall jew fuq issettjar fil-php.ini. Kollha jsemmu l-aġġornament bħala s-soluzzjoni vera. X'jirrakkomanda l-BSI lil hinn minn dan fid-dettall jinsab fuq il-paġna X'jirrakkomanda l-BSI dwar PHP2Shell.
Mistoqsija tal-verżjonijiet: x'tfisser “minn PHP 5”
CERT-EU qies, skont rapporti, possibbli li huma affettwati l-verżjonijiet minn PHP 5. Skont rapporti tekniċi, l-entità bbażat ruħha fuq informazzjoni li ċċirkolat qabel ir-rapport uffiċjali. L-istampa tekniċa titkellem dwar kważi l-verżjonijiet kollha sa PHP 5.4.
Fil-prattika l-limitu eżatt ibiddel ftit. Għal PHP 8.1 u eqdem il-proġett PHP ma jipprovdix aktar aġġornamenti uffiċjali. Hemm backports minimi tas-sors għal 7.4, 8.0 u 8.1, imma l-ebda releases. Min għadu jħaddem PHP 5 jew 7 huwa dipendenti fuq distribuzzjonijiet, fornituri terzi jew migrazzjoni. Jekk id-distribuzzjoni tagħkom ħarġitx korrezzjoni juru l-paġni tas-sigurtà tagħha stess, pereżempju d-Debian Security Tracker, l-Ubuntu Security Notices jew l-indikazzjonijiet ta' Red Hat. Hemm ukoll offerti kummerċjali fit-tul għal verżjonijiet qodma ta' PHP; jekk jgħattux PHP2Shell, għandkom titolbu konferma bil-miktub mill-fornitur. Dettalji dwar il-fergħat issibuhom taħt Liema verżjonijiet ta' PHP huma affettwati? u PHP 8.1 u eqdem.
Iżolaw: kif timplimentaw ir-rakkomandazzjoni
“Iżolaw” jinstema astratt. Il-għan huwa li talbiet mill-internet ma jilħqux aktar l-applikazzjoni vulnerabbli ta' PHP. Skont l-applikazzjoni hemm diversi livelli:
- Għeluq sħiħ: Il-websajt tinbidel b'paġna ta' emerġenza statika mingħajr PHP. Din hija l-aktar għażla sigura.
- Illimitaw l-aċċess: L-applikazzjoni tibqa' taħdem, imma tkun aċċessibbli biss permezz ta' VPN jew għal indirizzi IP stabbiliti, pereżempju għal portali interni.
- Login quddiem l-applikazzjoni: Login fil-livell tas-server tal-web jew tal-proxy quddiem l-applikazzjoni. Attenzjoni: B'mod_php intwera exploit qabel ma jaħdem il-kodiċi tal-applikazzjoni. Il-login għalhekk irid jaħdem qabel PHP, mhux fl-applikazzjoni.
- Imblukkaw l-aċċess dirett għall-oriġini: Min juża servizz ta' proxy jew CDN għandu jiżgura li s-server ma jkunx ukoll aċċessibbli direttament.
Restrizzjoni fis-server tal-web tista' tidher hekk, bħala konfigurazzjoni bla periklu għal Apache:
# Ippermetti l-aċċess biss min-netwerk intern (adatta l-firxa tal-eżempju)
<Location "/">
Require ip 192.0.2.0/24
</Location>
Ittestjaw l-effett minn barra, pereżempju permezz ta' konnessjoni mobbli. Isolazzjoni ttestjata biss fin-netwerk tal-uffiċċju mhix isolazzjoni ttestjata.
L-isolazzjoni hija soluzzjoni temporanja. Meta tiżolaw, iddeterminaw minnufih sa meta jasal l-aġġornament u min jinstallah. Inkella s-soluzzjoni ta' emerġenza ssir stat permanenti.
X'jitolbu r-rakkomandazzjonijiet flimkien: inventarju
L-entitajiet uffiċjali kollha jassumu li tafu fejn jaħdem PHP. Eżattament hawnhekk ħafna negozji jfallu: microsites minn kampanji qodma, portal tal-klijenti minsi, sistema tat-test b'indirizz pubbliku, applikazzjoni fuq NAS. CERT-EU jsemmi espliċitament ir-reġistrazzjoni tal-installazzjonijiet ta' PHP bħala l-ewwel pass.
Sistemi minsija l-aktar probabbli ssibuhom b'tliet modi: miż-żoni DNS tad-dominji tagħkom, mil-lista taċ-ċertifikati TLS maħruġa u mill-kuntratti ma' aġenziji, hosters u fornituri tas-softwer. Kull daħla li ħadd ma jista' jgħid minnufih x'jaħdem warajha tappartjeni fuq il-lista tal-verifika. Eżattament sistemi bħal dawn huma perikolużi f'sitwazzjoni bħal PHP2Shell, għax ħadd ma jagħmel patch u ħadd ma jaqbadhom jonqsu jekk jiġu kompromessi.
Inventarju użabbli fih għal kull sistema: indirizz, skop, operatur, verżjoni ta' PHP u modalità tat-tħaddim, sors tal-pakketti u l-persuna ta' kuntatt għall-aġġornamenti. Kif tibnuh u żżommuh aġġornat juri l-artikolu Inventarju tal-websajts u s-servers kollha.
Kif tgħin PHP SOS b'mod konkret?
- Reġistrazzjoni: Nistabbilixxu s-sistemi ta' PHP aċċessibbli pubblikament tagħkom u nirranġawhom skont ir-riskju.
- Patch jew isolazzjoni: Ninstallaw aġġornamenti jew niżolaw applikazzjonijiet li ma jistgħux jiġu ppatchjati minnufih, u nivverifikaw l-effett minn barra.
- Verżjonijiet qodma: Għal sistemi b'PHP 8.1 u eqdem nippjanaw magħkom it-triq lejn stat appoġġat.
- Prova: Tirċievu dokumentazzjoni tar-rakkomandazzjonijiet implimentati għal kull sistema.
Kif ngħaddu applikazzjonijiet qodma għal verżjonijiet appoġġati jiddeskrivih is-servizz Migrazzjoni ta' PHP għal sistemi legacy.
Konklużjoni
CERT-EU, CERT-Bund, il-BSI u l-proġett PHP jitkellmu b'leħen wieħed: aġġornaw, u fejn dan ma jkunx possibbli minnufih, iżolaw. Id-differenzi jinsabu f'dettalji bħall-limitu tal-verżjonijiet. Għall-prattika tagħkom jgħodd l-ewwel pass li kulħadd jassumi: li tkunu tafu fejn jaħdem PHP kullimkien.
Mistoqsijiet frekwenti
X'inhi d-differenza bejn CERT-Bund u CERT-EU?
CERT-Bund huwa t-tim ta' rispons għall-emerġenzi tal-kompjuter fil-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) u jwissi fil-Ġermanja dwar dgħufijiet. CERT-EU huwa s-servizz taċ-ċibersigurtà tal-istituzzjonijiet u l-korpi tal-Unjoni Ewropea. It-tnejn joħorġu rakkomandazzjonijiet li huma utli wkoll għan-negozji.
X'tfisser li tiżola applikazzjoni ta' PHP?
L-applikazzjoni wara ma tkunx aktar aċċessibbli liberament mill-internet. Dan huwa possibbli b'paġna ta' emerġenza, b'aċċess biss permezz ta' VPN jew indirizzi IP speċifiċi jew b'għeluq sħiħ. Id-deċiżiv huwa li talbiet minn barra ma jibqgħux jilħqu l-proċess vulnerabbli ta' PHP.
Skont CERT-EU huma affettwati wkoll il-verżjonijiet ta' PHP 5?
CERT-EU, skont rapporti, qies possibbli li huma affettwati l-verżjonijiet minn PHP 5, u bbaża ruħu fuq informazzjoni li ċċirkolat qabel ir-rapport uffiċjali. L-istampa tekniċa semmiet kważi l-verżjonijiet kollha sa PHP 5.4. Għal verżjonijiet daqshekk qodma ma hemm l-ebda aġġornament uffiċjali.
Hemm sinjali uffiċjali ta' rikonoxximent għall-attakki?
Le. S'issa ma hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati dwar PHP2Shell. Ir-rikonoxximent jistrieħ fuq analiżi tal-imġiba, pereżempju fuq proċessi tas-server tal-web li jibdew shells jew fajls ġodda ta' PHP f'folders tal-upload.