היום ב-17:00: תיקון חירום לשתי פרצות קריטיות ב-PHP, ובאיחוד האירופי ממליצים לנתק אתרים שלא יעודכנו

מנהלי אתרים ואנשי אבטחת מידע בכל העולם נמצאים היום (רביעי) בכוננות: צוות האבטחה של PHP, אחת משפות התכנות הנפוצות ביותר ברשת, יפרסם היום בשעה 14:00 שעון גריניץ' (17:00 שעון ישראל) עדכון חירום לשתי חולשות קריטיות. שתיהן דורגו בציון חומרה של 9.2 מתוך 10, ולפי ההערכות הן עלולות לאפשר לתוקף להריץ קוד מרחוק על שרתים, בלי צורך בהזדהות.

"כל משתמשי PHP מתבקשים להתכונן כבר עכשיו, כדי שיוכלו לעדכן ברגע שהגרסה תהיה זמינה", כתב צוות האבטחה של הפרויקט. הצוות הוסיף כי הוא שומר לעצמו את הזכות לשחרר את התיקון מוקדם יותר, אם פרטי החולשות יתפרסמו או אם יתגלו ראיות לניצול שלהן בפועל.

אזהרה חריגה מהאיחוד האירופי

CERT-EU, גוף הסייבר של מוסדות האיחוד האירופי, פרסם הבוקר התרעה רשמית וממליץ לארגונים לאתר כבר עכשיו את כל המערכות שמבוססות על PHP ולהיערך לעדכון מיידי. ארגונים שלא יוכלו לעדכן מיד, נכתב בהתרעה, צריכים לשקול לנתק את האתרים והאפליקציות שפתוחים לאינטרנט מהרשת הציבורית, עד שהתיקון יותקן.

לפי ההתרעה, בשלב זה לא פורסמו פרטים טכניים רשמיים על החולשות, אך ייתכן שהן משפיעות על כל גרסאות PHP מאז PHP 5, שיצאה לפני יותר מ-20 שנה. הפרטים המלאים, הגרסאות הפגיעות והגרסאות המתוקנות יפורסמו יחד עם העדכון.

המידע דלף לפני הזמן

במקור תוכנן העדכון ליום חמישי, אבל מידע על החולשות החל להסתובב ברשת עוד לפני המועד שסוכם, והפרויקט הקדים את מועד השחרור. חברת הסייבר watchTowr אישרה שהחולשות אמיתיות, וחוקרי אבטחה ברשתות החברתיות טענו שכבר הצליחו לשחזר אותן. במקביל, חברות אירוח וענן מודיעות ללקוחות שהן נערכות להחליף את גרסאות PHP בשרתים שלהן מיד עם פרסום התיקון.

המשמעות עשויה להיות רחבה במיוחד: PHP מריצה חלק גדול מאתרי האינטרנט בעולם, בהם אתרים שבנויים על מערכות ניהול תוכן נפוצות כמו וורדפרס. מומחים מזהירים שהבעיה הגדולה תהיה דווקא באתרים ישנים, שעדיין רצים על גרסאות שכבר לא מקבלות עדכוני אבטחה, ולכן לא צפויות לקבל את התיקון בכלל.

מה צריך לעשות

בעלי אתרים שמשתמשים בשירותי אחסון מומלץ לוודא מול חברת האחסון שהשרתים יעודכנו היום. מי שמנהל שרתים בעצמו צריך להתכונן להתקין את הגרסה החדשה של PHP ברגע שתשוחרר, ולבדוק אם האתר שלו רץ על גרסה ישנה שכבר לא נתמכת, ואם כן, לתכנן מעבר לגרסה עדכנית בהקדם.