Po odkritih ranljivostih v PHP-ju visoka ogroženost kibernetske varnosti v Sloveniji

Vir, odlomek za odlomkom

1. u1 Programski jezik PHP poganja velik del interneta. Foto: EPA (photo)

   

2. u2 Spremljajte RTVSLO.si kot prednostni vir na Google
3. u3 Odkriti ranljivosti omogočata oddaljeno izvajanje poljubne kode brez predhodne avtentikacije, s pravicami procesa spletnega strežnika.
4. u4 Na podlagi objavljenih analiz in pridobljenih informacij ter v sodelovanju z drugimi pristojnimi organi in organizacijami so na uradu ugotovili, da bi lahko resno vplivali na varnost informacijskih sistemov in omrežij zavezancev ter drugih organizacij.
5. u5 Po zakonu o informacijski varnosti, ki je začel veljati junija lani, krog zavezancev zajema 18 sektorjev. Poleg subjektov javnega sektorja zakon zajema tudi nekatere gospodarske subjekte, predvsem velika in srednja podjetja. Kot zavezanci pa se lahko določijo tudi drugi pomembni organi ali entitete oziroma podjetja, ki so pomembna za delovanje v Sloveniji.
6. u6 Visoka ogroženost se nanaša tudi na druge organe in organizacije, ki uporabljajo programski jezik PHP ali programsko opremo, ki PHP vsebuje oziroma je od njega odvisna. Ocena velja do preklica, so v sporočilu za javnost navedli v uradu vlade za informacijsko varnost.
7. u7 Kot so še pojasnili, sodi programski jezik PHP med najbolj razširjene strežniške skriptne jezike za razvoj spletnih aplikacij in je podlaga številnim sistemom za upravljanje vsebin, spletnim portalom ter drugim rešitvam v javnem in zasebnem sektorju. Zato opozarjajo, da bi zaradi njegove široke uporabe odkriti ranljivosti lahko pomembno vplivali tudi na centralni državni informacijsko-komunikacijski sistem, organizacije javnega sektorja in širše.
8. u8 V uradu organizacijam priporočajo takojšnjo namestitev ustreznih popravkov. Te so razvijalci jezika PHP danes že izdali. "Namestitev popravkov je edini ukrep, ki ranljivosti v celoti odpravi; začasni konfiguracijski ukrepi tveganje le zmanjšajo," poudarja urad.
9. u9 Posamezni varnostni ponudniki so danes poročali o prvih poskusih izkoriščanja, drugi tega pri svojih strankah niso zaznali, navajajo v uradu. Projekt PHP izkoriščanja ni potrdil, ranljivosti pa ob pripravi ocene še nista bili uvrščeni na seznam aktivno izkoriščanih ranljivosti ameriške zvezne agencije za kibernetsko varnost in varnost infrastrukture (CISA).
10. u10 "Navedbe o odtekli kodi za izkoriščanje niso neodvisno potrjene," so zapisali v uradu.
11. u11 Zavezanci po zakonu o informacijski varnosti morajo nemudoma začeti izvajati predpisane dodatne varnostne ukrepe in jih izvajati do preklica. Urad bo na podlagi tega zakona za zmanjšanje visoke ogroženosti ter preprečitev nastanka krize oziroma njeno obvladovanje izdal pisno odredbo z nujnimi ukrepi in z njo seznanil zavezance.
12. u12 Nadaljnje dogajanje bodo v uradu pozorno spremljali ter po potrebi sprejeli dodatne sorazmerne ukrepe in o njih po potrebi obvestil širšo javnost.
13. u13 Za iskanje pomanjkljivosti v PHP-ju je bila uporabljena najsodobnejša umetna inteligenca, ki jo je izdelal OpenAI. Foto: Reuters (photo)

    

14. u14 Organizacijam, ki uporabljajo PHP ali programsko opremo z vgrajenim PHP-jem, urad priporoča, da preverijo izpostavljenost svojih sistemov in nemudoma namestijo ustrezne popravke. Če posodobitev zagotavlja proizvajalec programske opreme, naj od njega zahtevajo rok za izdajo popravka, do takrat pa uvedejo začasne zaščitne ukrepe in omejijo izpostavljenost prizadete storitve iz interneta.
15. u15 Na odkriti ranljivosti so v uradu opozorili že popoldne. Uporabnikom in organizacijam, pri katerih takojšnja namestitev popravkov ni mogoča, so svetovali, naj ocenijo tveganje in po potrebi začasno omejijo dostop do izpostavljenih aplikacij oz. jih izolirajo od javnih omrežij ali uvedejo druge ustrezne zaščitne ukrepe.
16. u16 Z odkritimi ranljivostmi so bili med drugim seznanjeni tudi v Akademski in raziskovalni mreži Slovenije (Arnes). Posledično obstaja možnost, da bodo nekatere storitve Arnesa začasno nedosegljive, je ta javni zavod danes obvestil prek svoje spletne strani.
17. u17 Podrobnosti ranljivosti ušle na splet
18. u18 Na odkriti ranljivosti je opozorila tudi ameriška Agencija za nacionalno varnost (NSA) in prav tako organizacije pozvala, naj nemudoma namestijo popravke ali pa ranljive sisteme izklopijo iz omrežja.
19. u19 PHP je osnova priljubljenih platform za oblikovanje spletnih strani, zato te ranljivosti lahko vplivajo na širok spekter spletnih strani, od spletnih trgovin in novičarskih spletnih strani do vladnih storitev.
20. u20 Odkritje ranljivosti je prišlo v času, ko se zaradi vse močnejših modelov umetne inteligence povečuje število razkritij varnostnih ranljivosti v programski opremi.
21. u21 O odkritih ranljivostih sta avgusta poročala varnostno podjetje Calif in razvijalec klepetalnega robota ChatGPT, OpenAI, ki sta ju neodvisno odkrila istega dne. Podjetje Wiz, ki se ukvarja z varnostjo v oblaku in je v lasti Googla, je kasneje poročalo o dodatnih načinih izkoriščanja teh ranljivosti.
22. u22 O ranljivostih so takrat zasebno obvestili razvijalce PHP-ja, informacije pa so ostale zaupne, dokler ni bil pripravljen popravek.
23. u23 V torek, dan pred načrtovano objavo popravka, so podrobnosti o ranljivostih ušle na splet, kar je povzročilo hiter umik nekaterih spletnih strani iz omrežja.
24. u24 V Franciji so tako spletne strani lokalnih oblasti, vključno s spletno stranjo pariške policijske prefekture, od današnjega popoldneva nedostopne na zahtevo francoske nacionalne agencije za kibernetsko varnost.
25. u25 Na Nizozemskem so bile nacionalna storitev za digitalno identiteto DigiD, spletna stran predstavniškega doma in spletna stran nacionalnega centra za kibernetsko varnost preventivno umaknjene iz omrežja, poroča nizozemska javna radiotelevizija NOS.
26. u26 Belgijsko zunanje ministrstvo je svoje spletne strani preventivno začasno umaknilo iz omrežja, je sporočilo prek omrežja X. Belgijski center za kibernetsko varnost sicer ni zaznal nobenih napadov na belgijske spletne strani.