Stručne: CERT-EU (tím CERT inštitúcií EÚ) podľa správ radí inventarizovať inštalácie PHP, ihneď záplatovať a izolovať verejne dostupné aplikácie, ak sa nedajú zaplátať včas. CERT-Bund (nemecký vládny CERT) a BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) vo svojom varovaní odporúčajú okamžitú aktualizáciu a, ak to nejde, dotknuté webové servery dočasne odpojiť od siete. Odporúčania sa v jadre zhodujú: aktualizácia na prvom mieste, izolácia ako núdzové riešenie, prechodné opatrenia len ako doplnok.
Kto varuje a pre koho?
Pri PHP2Shell zareagovalo niekoľko oficiálnych miest v priebehu niekoľkých hodín. Pre podniky v Nemecku je prvou adresou BSI so svojím počítačovým núdzovým tímom CERT-Bund. CERT-EU je služba kybernetickej bezpečnosti inštitúcií EÚ; jeho upozornenia sú určené predovšetkým im, no čítajú sa v celej Európe. Podľa BleepingComputer varovalo aj britské National Cyber Security Centre. Zo súkromného sektora sa ozvali okrem iných Huntress a Cloudflare.
Pre vás ako prevádzkovateľa je pôvod menej dôležitý ako zhoda. Ak viaceré nezávislé miesta radia to isté, je to silný signál.
CERT-Bund, CERT-EU a ďalší: varovania pred PHP v porovnaní
| Miesto | Hlavné odporúčanie | Osobitosť |
|---|---|---|
| BSI / CERT-Bund | ihneď aktualizovať, inak webové servery dočasne odpojiť od siete | stupeň varovania 3 (oranžový) |
| CERT-EU | inventarizovať inštalácie PHP, ihneď záplatovať, inak izolovať verejné aplikácie | podľa správ považoval za možné, že sú dotknuté verzie od PHP 5 |
| UK NCSC | ihneď aktualizovať alebo dotknuté systémy do záplaty odpojiť od siete | podľa BleepingComputer |
| php.net | aktualizovať na 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, prechodné opatrenia len ako čiastočná ochrana | primárny zdroj pre verzie a nastavenia |
Žiadne z miest neodporúča spoliehať sa výlučne na Web Application Firewall alebo na nastavenia v php.ini. Všetky uvádzajú aktualizáciu ako skutočné riešenie. Čo BSI radí navyše v jednotlivostiach, nájdete na stránke Čo BSI k PHP2Shell odporúča.
Otázka verzií: čo znamená „od PHP 5“
CERT-EU podľa správ považoval za možné, že sú dotknuté verzie od PHP 5. Pritom sa podľa odborných správ opieral o informácie, ktoré kolovali pred oficiálnym hlásením. Odborná tlač hovorí o takmer všetkých verziách až po PHP 5.4.
Prakticky presná hranica veľa nemení. Pre PHP 8.1 a staršie už projekt PHP oficiálne aktualizácie nedodáva. Existujú minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1, ale žiadne vydania. Kto stále prevádzkuje PHP 5 alebo 7, je odkázaný na distribúcie, tretie strany alebo migráciu. Či vaša distribúcia dodala opravu, ukážu jej vlastné bezpečnostné stránky, napríklad Debian Security Tracker, Ubuntu Security Notices alebo upozornenia Red Hat. Komerčné ponuky dlhodobej podpory pre staré verzie PHP takisto existujú; či pokrývajú PHP2Shell, si nechajte od poskytovateľa písomne potvrdiť. Podrobnosti o vetvách nájdete pod Ktoré verzie PHP sú dotknuté? a PHP 8.1 a staršie.
Izolovať: ako odporúčanie zrealizovať
„Izolovať“ znie abstraktne. Ide o to, aby požiadavky z internetu už nedosiahli zraniteľnú aplikáciu PHP. Podľa aplikácie existuje niekoľko stupňov:
- Úplne vypnúť: Web sa nahradí statickou núdzovou stránkou bez PHP. Toto je najbezpečnejší variant.
- Obmedziť prístup: Aplikácia zostane v prevádzke, ale je dosiahnuteľná už len cez VPN alebo z určených adries IP, napríklad pri interných portáloch.
- Predradené prihlásenie: Prihlásenie na úrovni webového servera alebo proxy pred aplikáciou. Pozor: pri mod_php bol exploit predvedený ešte predtým, než sa spustí kód aplikácie. Prihlásenie preto musí zaberať pred PHP, nie v aplikácii.
- Zablokovať priamy prístup k pôvodnému serveru: Kto používa proxy alebo službu CDN, mal by zabezpečiť, aby server nebol navyše dostupný priamo.
Obmedzenie vo webovom serveri môže vyzerať takto, ako neškodná konfigurácia pre Apache:
# Povoliť prístup len z internej siete (ukážkový rozsah upraviť)
<Location "/">
Require ip 192.0.2.0/24
</Location>
Účinok vyskúšajte zvonka, napríklad cez mobilné pripojenie. Izolácia, ktorá bola skontrolovaná len v kancelárskej sieti, nie je skontrolovaná izolácia.
Izolácia je preklenutie. Pri izolovaní hneď určte, dokedy aktualizácia príde a kto ju nasadí. Inak sa z núdzového riešenia stane trvalý stav.
Čo odporúčania spoločne vyžadujú: inventár
Všetky oficiálne miesta predpokladajú, že viete, kde PHP beží. Práve na tom v mnohých podnikoch všetko stroskotá: mikrosite zo starých kampaní, zabudnutý zákaznícky portál, testovací systém s verejnou adresou, aplikácia na NAS. CERT-EU uvádza inventarizáciu inštalácií PHP výslovne ako prvý krok.
Zabudnuté systémy nájdete najskôr tromi cestami: zóny DNS vašich domén, zoznam vydaných certifikátov TLS a zmluvy s agentúrami, poskytovateľmi hostingu a dodávateľmi softvéru. Každý záznam, pri ktorom nikto nevie hneď povedať, čo za ním beží, patrí do zoznamu kontrol. Práve takéto systémy sú pri situácii ako PHP2Shell nebezpečné, pretože ich nikto nezáplatuje a nikto ich nepostrádá, keď sú kompromitované.
Použiteľný inventár obsahuje pre každý systém: adresu, účel, prevádzkovateľa, verziu PHP a režim prevádzky, zdroj balíkov a kontaktnú osobu pre aktualizácie. Ako ho vybudovať a udržiavať aktuálny, ukazuje príspevok Inventár všetkých webov a serverov.
Ako konkrétne pomáha PHP SOS?
- Inventarizácia: Zistíme vaše verejne dostupné systémy PHP a zaradíme ich podľa rizika.
- Záplata alebo izolácia: Nasadíme aktualizácie alebo izolujeme aplikácie, ktoré sa nedajú zaplátať hneď, a overíme účinok zvonka.
- Staré verzie: Pre systémy s PHP 8.1 a staršími s vami naplánujeme cestu k podporovanému stavu.
- Doklad: Dostanete dokumentáciu zrealizovaných odporúčaní pre každý systém.
Ako staré aplikácie privádzame na podporované verzie, popisuje služba migrácia PHP pre legacy systémy.
Záver
CERT-EU, CERT-Bund, BSI a projekt PHP hovoria jedným hlasom: aktualizovať, a kde to hneď nejde, izolovať. Rozdiely ležia v detailoch, ako je hranica verzií. Pre vašu prax platí prvý krok, ktorý predpokladajú všetci: vedieť, kde všade PHP beží.
Časté otázky
Aký je rozdiel medzi CERT-Bund a CERT-EU?
CERT-Bund je počítačový núdzový tím pri BSI a v Nemecku varuje pred zraniteľnosťami. CERT-EU je služba kybernetickej bezpečnosti inštitúcií a orgánov Európskej únie. Obe vydávajú odporúčania, ktoré sú užitočné aj pre podniky.
Čo znamená izolovať aplikáciu PHP?
Aplikácia už nie je voľne dostupná z internetu. Možné je to núdzovou stránkou, prístupom len cez VPN alebo z určených adries IP, alebo úplným vypnutím. Rozhodujúce je, aby požiadavky zvonka už nedosiahli zraniteľný proces PHP.
Sú podľa CERT-EU dotknuté aj verzie PHP 5?
CERT-EU podľa správ považoval za možné, že sú dotknuté verzie od PHP 5, a opieral sa pritom o informácie, ktoré kolovali pred oficiálnym hlásením. Odborná tlač hovorí o takmer všetkých verziách až po PHP 5.4. Pre také staré verzie neexistujú oficiálne aktualizácie.
Existujú oficiálne rozpoznávacie znaky útokov?
Nie. Zatiaľ neexistujú žiadne zverejnené a potvrdené Indicators of Compromise k PHP2Shell. Rozpoznanie sa opiera o analýzu správania, napríklad procesy webového servera, ktoré spúšťajú shelly, alebo nové súbory PHP v priečinkoch s uploadmi.