Po co więc wyłączać?

Transkrypcja

1. W środę holenderski rząd wyłączył strony, w tym stronę DigiD.
2. Logowanie nadal działało.
3. Poprawka miała wyjść tego popołudnia.
4. W czwartek w Japonii banki wstrzymały część usług online,
5. a urząd skarbowy zamknął stronę główną e-Tax.
6. Przyczyna: 2 luki w PHP, którego używają miliony stron.
7. Wysyłając zapytania, bez hasła,
8. obcy mógł uruchomić własny kod na serwerze.
9. Po co więc wyłączać?
10. Bo sekret już wyciekł, a nawet z poprawką
11. serwery trzeba było załatać i sprawdzić.
12. W 2024 zespół PHP zauważył oznaki błędu pamięci, który stoi za jedną z luk.
13. Nie umiał pokazać, jak się włamać, a poprawka utknęła na miesiące.
14. Fundacja PHP nazywa dziś to opóźnienie swoją porażką.
15. W sierpniu firma bezpieczeństwa Calif, z pomocą AI,
16. pokazała, że przejmie stronę na WordPressie, i zgłosiła to PHP.
17. OpenAI zgłosiło to tego samego dnia.
18. Poprawkę wyznaczono na 22 października.
19. Do tego czasu wiedzieć mieli tylko ci, którzy ją szykowali.
20. W ostatnim tygodniu sekret się rozsypał.
21. Szef firmy bezpieczeństwa Chainguard mówi, że w piątek 16 października
22. jeden ze znalazców błędu powiedział mu tylko, że coś się szykuje,
23. a jego zespół znalazł lukę tej samej nocy z pomocą AI.
24. Następnego dnia Chainguard dołączył do prac i,
25. jak inni dystrybutorzy, dostał poprawkę.
26. W tę sobotę pułapki Amazona zapisały kogoś, kto próbował tego ataku.
27. Skąd wiedział, nie wiadomo, mówi Amazon.
28. We wtorek numery katalogowe luk pojawiły się w sieci, bez szczegółów.
29. PHP przyspieszyło poprawkę o dzień.
30. Tego wieczoru, jak mówi PHP, Calif przez pomyłkę opublikował nagranie ataku.
31. Wcześnie w środę, ponad 6 godzin przed uzgodnionym czasem,
32. Chainguard opublikował poprawione wersje.
33. Mówi, że ataki już trwały, a pułapki Amazona widziały kolejne próby.
34. PHP mówi, że dzięki nim atakujący badali poprawkę, gdy inni czekali.
35. Tego popołudnia PHP wydało poprawkę,
36. gotową tylko dla swoich 4 wspieranych wersji.
37. Według podziału W3Techs około połowy stron na PHP działa na 8.1 lub starszej.
38. Dla nich PHP nie ma gotowej aktualizacji.
39. Agencje w Wielkiej Brytanii, UE i USA doradziły więc:
40. jeśli nie da się zaktualizować ani chronić, rozważ wyłączenie.
41. Strona DigiD wróciła następnego dnia, po załataniu i testach.
42. Amazon mówi, że próby są już powszechne.
43. Fundacja PHP nie wie o żadnym udanym użyciu luk do uruchomienia kodu.
44. Czy ktoś włamał się na serwer przed załataniem, wciąż nie wiadomo.
45. Wesprzyj nas na pollar.news/support albo w naszej aplikacji na iOS i Android.