Zespół CERT Polska wydał pilny komunikat dotyczący poważnych luk bezpieczeństwa w oprogramowaniu PHP, wykorzystywanym przez miliony serwisów internetowych, w tym te powstałe na bazie popularnych systemów WordPress i Joomla. Wykryte podatności są niezwykle niebezpieczne z tego względu, iż pozwalają one hakerom na uzyskanie zdalnego dostępu do serwera i wykonywanie na nim poleceń. W reakcji na zagrożenie Centralny Ośrodek Informatyki podjął decyzję o czasowym wyłączeniu części rządowych stron Biuletynu Informacji Publicznej (BIP), a Pełnomocnik Rządu ds. Cyberbezpieczeństwa wydał oficjalne rekomendacje w rzeczonej sprawie. Jak mawiają – lepiej późno, niż wcale.
Rząd przestrzega przed lukami w kodzie PHP
Wykryte podatności oznaczone jako CVE-2026-109618 oraz CVE-2026-109619 dotyczą błędów w mechanizmie zarządzania pamięcią w popularnym języku programowania PHP. Usterki te umożliwiają potencjalnemu napastnikowi zdalne wykonanie dowolnych komend systemowych na serwerze, co stwarza bezpośrednie ryzyko przejęcia kontroli nad całą witryną lub bazą danych. Ostrzeżenie opublikowane przez CERT Polska wskazuje, że na atak podatne są wszystkie wersje PHP począwszy od wydania 5.4.
Zagrożenie ma wyjątkowo szeroki zasięg, ponieważ z języka PHP korzysta lwia część światowej infrastruktury internetowej, w tym najpopularniejsze systemy zarządzania treścią pokroju wspomnianych już WordPress i Joomla, ale również platforma e-commerce WooCommerce (będąca w zasadzie wtyczką do WordPressa, aczkolwiek wymieniono ją w omawianym tekście). Eksperci zaapelowali do administratorów o niezwłoczną weryfikację używanej technologii oraz zgłaszanie wszelkich śladów ewentualnych incydentów poprzez specjalny formularz dostępny za pośrednictwem strony CERT.
Reakcja Centralnego Ośrodka Informatyki
Skala zagrożenia skłoniła państwowe instytucje do podjęcia kroków zapobiegawczych, acz natychmiastowymi nie sposób ich określić. Jednym z nich było czasowe wyłączenie przez Centralny Ośrodek Informatyki serwisów Biuletynu Informacji Publicznej (BIP), które funkcjonują w oparciu o System Scentralizowanego Dostępu do Informacji Publicznej (SSDIP).
Co istotne, przerwa w działaniu dotyczy wyłącznie witryn utrzymywanych bezpośrednio w serwisie ssdip.bip.gov.pl. Zaplanowany przestój ma umożliwić bezpieczne wdrożenie poprawek oraz przeprowadzenie niezbędnych prac konfiguracyjnych, zapobiegając próbom przejęcia rządowych zasobów informacyjnych przez nieuprawnione podmioty.
Rząd wystosował oficjalne zalecenia w związku z lukami w PHP
W związku z powagą sytuacji Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa, Krzysztof Gawkowski, po przeprowadzeniu konsultacji z zespołami CSIRT NASK, CSIRT GOV oraz CSIRT MON wydał oficjalną rekomendację (nr 2026/33/6). W dokumencie podkreślono, że ignorowanie wykrytych luk ma negatywny wpływ na bezpieczeństwo publiczne i może doprowadzić do wystąpienia incydentu krytycznego o zasięgu państwowym.
Rząd zaleca podmiotom krajowego systemu cyberbezpieczeństwa natychmiastową aktualizację oprogramowania do poprawionych wydań: PHP 8.5.12, 8.4.27, 8.3.36 lub 8.2.35. W sytuacjach, gdy błyskawiczna instalacja łatki nie jest możliwa, administratorzy powinni niezwłocznie wprowadzić tymczasowe modyfikacje w pliku konfiguracyjnym „php.ini”. Zalecane środki ostrożności obejmują m.in. wyłączenie funkcji „session.upload_progress.enabled”, ograniczenie wartości „post_max_size” do maksymalnie 8M, „max_input_vars” do 1000 oraz odpowiednie dostosowanie parametru „memory_limit”.
0 komentarzy