Pe scurt: CERT-EU recomandă, potrivit relatărilor, inventarierea instalărilor PHP, actualizarea imediată și izolarea aplicațiilor accesibile public dacă nu pot fi actualizate în timp util. CERT-Bund și BSI recomandă în avertismentul lor actualizarea imediată și, dacă aceasta nu este posibilă, scoaterea temporară din rețea a serverelor web afectate. Recomandările coincid în esență: mai întâi actualizarea, izolarea ca soluție de avarie, măsurile provizorii doar ca supliment.
Cine avertizează și pentru cine?
La PHP2Shell, mai multe instituții oficiale au reacționat în câteva ore. Pentru companiile din Germania, BSI, cu echipa sa de intervenție la incidente informatice CERT-Bund (CERT-ul guvernamental german), este prima adresă. CERT-EU este serviciul de securitate cibernetică al instituțiilor UE; indicațiile sale se adresează în primul rând acestora, dar sunt citite în toată Europa. Potrivit BleepingComputer, a avertizat și National Cyber Security Centre din Marea Britanie. Din sectorul privat s-au făcut auziți, printre alții, Huntress și Cloudflare.
Pentru dumneavoastră, ca operator, proveniența contează mai puțin decât concordanța. Când mai multe instituții independente recomandă același lucru, este un semnal puternic.
CERT-Bund, CERT-EU și altele: avertismentele PHP comparate
| Instituție | Recomandare centrală | Particularitate |
|---|---|---|
| BSI / CERT-Bund | actualizați imediat, altfel scoateți temporar serverele web din rețea | nivel de alertă 3 / portocaliu |
| CERT-EU | inventariați instalările PHP, actualizați imediat, altfel izolați aplicațiile publice | a considerat, potrivit relatărilor, posibil ca versiunile începând cu PHP 5 să fie afectate |
| UK NCSC | actualizați imediat sau scoateți din rețea sistemele afectate până la patch | potrivit BleepingComputer |
| php.net | actualizați la 8.5.12, 8.4.27, 8.3.36 sau 8.2.35, măsuri provizorii doar ca protecție parțială | sursă primară pentru versiuni și setări |
Nicio instituție nu recomandă să vă bazați exclusiv pe un Web Application Firewall sau pe setări din php.ini. Toate indică actualizarea ca soluție propriu-zisă. Ce mai recomandă BSI în detaliu se află pe pagina Ce recomandă BSI despre PHP2Shell.
Întrebarea versiunilor: ce înseamnă „începând cu PHP 5”
CERT-EU a considerat posibil, potrivit relatărilor, ca versiunile începând cu PHP 5 să fie afectate. Instituția s-a bazat, potrivit relatărilor de specialitate, pe informații care circulau înainte de anunțul oficial. Presa de specialitate vorbește despre aproape toate versiunile până la PHP 5.4.
Practic, limita exactă schimbă puțin. Pentru PHP 8.1 și mai vechi, proiectul PHP nu mai livrează actualizări oficiale. Există backporturi minime de cod sursă pentru 7.4, 8.0 și 8.1, dar nu versiuni. Cine mai operează PHP 5 sau 7 depinde de distribuții, terți sau o migrare. Dacă distribuția dumneavoastră a livrat o corecție arată paginile ei de securitate, de exemplu Debian Security Tracker, Ubuntu Security Notices sau indicațiile Red Hat. Există și oferte comerciale pe termen lung pentru versiuni PHP vechi; dacă acoperă PHP2Shell, ar trebui să vă lăsați confirmat în scris de furnizor. Detalii despre ramuri se află la Ce versiuni PHP sunt afectate? și PHP 8.1 și mai vechi.
Izolarea: cum puneți în practică recomandarea
„Izolare” sună abstract. Se înțelege că cererile din internet nu mai ajung la aplicația PHP vulnerabilă. În funcție de aplicație, există mai multe trepte:
- Oprire completă: Site-ul este înlocuit de o pagină de urgență statică, fără PHP. Aceasta este varianta cea mai sigură.
- Restricționarea accesului: Aplicația rămâne în funcțiune, dar este accesibilă doar prin VPN sau de la adrese IP stabilite, de exemplu pentru portaluri interne.
- Autentificare în față: O autentificare la nivel de server web sau proxy, înaintea aplicației. Atenție: la mod_php a fost demonstrat un exploit înainte ca vreun cod al aplicației să ruleze. Autentificarea trebuie deci să acționeze înaintea PHP, nu în aplicație.
- Blocarea accesului direct la origine: Cine folosește un serviciu proxy sau CDN ar trebui să se asigure că serverul nu este accesibil suplimentar în mod direct.
O restricție în serverul web poate arăta astfel, ca configurație inofensivă pentru Apache:
# Permite accesul doar din rețeaua internă (adaptați intervalul din exemplu)
<Location "/">
Require ip 192.0.2.0/24
</Location>
Testați efectul din exterior, de exemplu printr-o conexiune de telefonie mobilă. O izolare verificată doar în rețeaua biroului nu este o izolare verificată.
Izolarea este o punte. Când izolați, stabiliți imediat până când vine actualizarea și cine o instalează. Altfel, din soluția de avarie se face o stare permanentă.
Ce cer împreună recomandările: un inventar
Toate instituțiile oficiale presupun că știți unde rulează PHP. Exact aici eșuează multe companii: microsite-uri din campanii vechi, un portal de clienți uitat, un sistem de test cu adresă publică, o aplicație pe un NAS. CERT-EU menționează explicit inventarierea instalărilor PHP ca prim pas.
Sistemele uitate le găsiți cel mai probabil pe trei căi: zonele DNS ale domeniilor dumneavoastră, lista certificatelor TLS emise și contractele cu agenții, furnizori de hosting și furnizori de software. Orice intrare despre care nimeni nu poate spune imediat ce rulează în spatele ei aparține listei de verificare. Tocmai astfel de sisteme sunt periculoase într-o situație ca PHP2Shell, pentru că nimeni nu le actualizează și nimeni nu le simte lipsa dacă sunt compromise.
Un inventar utilizabil conține pentru fiecare sistem: adresa, scopul, operatorul, versiunea PHP și modul de operare, sursa pachetelor și persoana de contact pentru actualizări. Cum îl construiți și îl mențineți la zi arată articolul Inventarul tuturor site-urilor și serverelor.
Cum ajută PHP SOS concret?
- Inventariere: Stabilim sistemele dumneavoastră PHP accesibile public și le ordonăm după risc.
- Patch sau izolare: Instalăm actualizări sau izolăm aplicațiile care nu pot fi actualizate imediat și verificăm efectul din exterior.
- Versiuni vechi: Pentru sistemele cu PHP 8.1 și mai vechi, planificăm împreună cu dumneavoastră calea către o versiune suportată.
- Dovadă: Primiți o documentație a recomandărilor puse în aplicare, pentru fiecare sistem.
Cum aducem aplicațiile vechi la versiuni suportate descrie serviciul Migrarea PHP pentru sisteme legacy.
Concluzie
CERT-EU, CERT-Bund, BSI și proiectul PHP vorbesc într-un glas: actualizați, iar acolo unde nu este posibil imediat, izolați. Diferențele se află în detalii precum limita versiunilor. Pentru practica dumneavoastră contează primul pas, pe care îl presupun toți: să știți unde rulează PHP peste tot.
Întrebări frecvente
Care este diferența dintre CERT-Bund și CERT-EU?
CERT-Bund este echipa de intervenție la incidente informatice de pe lângă BSI (Oficiul Federal German pentru Securitatea Informațiilor) și avertizează în Germania asupra vulnerabilităților. CERT-EU este serviciul de securitate cibernetică al instituțiilor și organismelor Uniunii Europene. Ambele publică recomandări utile și pentru companii.
Ce înseamnă să izolezi o aplicație PHP?
Aplicația nu mai este apoi accesibilă liber din internet. Acest lucru este posibil printr-o pagină de urgență, prin acces doar prin VPN sau de la anumite adrese IP ori prin oprire completă. Decisiv este ca cererile din exterior să nu mai ajungă la procesul PHP vulnerabil.
Sunt afectate, potrivit CERT-EU, și versiunile PHP 5?
CERT-EU a considerat posibil, potrivit relatărilor, ca versiunile începând cu PHP 5 să fie afectate, bazându-se pe informații care circulau înainte de anunțul oficial. Presa de specialitate menționează aproape toate versiunile până la PHP 5.4. Pentru versiuni atât de vechi nu există actualizări oficiale.
Există semne de recunoaștere oficiale pentru atacuri?
Nu. Deocamdată nu există Indicators of Compromise publicați și confirmați pentru PHP2Shell. Detectarea se bazează pe analiza comportamentului, de exemplu pe procese ale serverului web care pornesc shell-uri sau pe fișiere PHP noi în directoarele de upload.