Kritični ranljivosti v PHP: URSIV razglasil visoko stopnjo kibernetske ogroženosti

Kaj se je zgodilo?

Odkriti sta bili dve kritični ranljivosti z oznakama CVE-2026-109618 in CVE-2026-109619, ki napadalcem omogočata oddaljeno izvajanje poljubne kode brez avtentikacije. Uspešna zloraba lahko napadalcu omogoči izvajanje poljubne kode na prizadetem sistemu, kar lahko vodi do prevzema nadzora nad strežnikom, dostopa do podatkov ali motenj v delovanju storitev. Obe ranljivosti imata oceno 9,2 od 10 po metodologiji CVSS, kar ju uvršča med najresnejše varnostne pomanjkljivosti.

Ranljivosti lahko vplivajo na širok nabor spletnih storitev, saj je PHP eden najbolj razširjenih strežniških programskih jezikov in predstavlja osnovo številnim spletnim portalom, sistemom za upravljanje vsebin in poslovnim aplikacijam.

Zakaj je to pomembno?

PHP poganja velik del svetovnega spleta. Zaradi obsežne uporabe lahko uspešno izkoriščanje teh ranljivosti povzroči:

• prevzem nadzora nad spletnimi strežniki,
• krajo ali spreminjanje podatkov,
• namestitev zlonamerne programske opreme,
• nedelovanje spletnih storitev,
• nadaljnje širjenje napada znotraj organizacije.

Evropske institucije, kot so ENISA, CERT‑EU in omrežje nacionalnih odzivnih centrov, so organizacije pozvale k takojšnjemu ukrepanju. Prav tako so k ukrepanju pozivale tudi slovenske institucije, kot sta URSIV in SI-CERT.

URSIV tudi navaja, da so nekateri varnostni ponudniki že zaznali prve poskuse izkoriščanja, čeprav uradne potrditve množične zlorabe še ni. CERT-EU opozarja, da se dokazi koncepta (PoC) že širijo v javnosti in da se verjetnost napadov povečuje.

Kdo je prizadet?

Ranljive so vse različice PHP pred naslednjimi popravljenimi izdajami:

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Ker številne organizacije uporabljajo gostovane storitve in komercialne aplikacije, priporočamo da pri ponudnikih preverijo, ali so prizadeti sistemi že posodobljeni oziroma kakšen je načrt odprave ranljivosti, saj so prizadete tudi starejše različice, ki niso več uradno podprte.

Posebna pozornost je potrebna pri sistemih za upravljanje vsebin, spletnih portalih, intranetih in drugih poslovnih aplikacijah, ki uporabljajo PHP neposredno ali posredno prek programske opreme tretjih ponudnikov. Organizacije naj zato preverijo tudi odvisnosti svojih aplikacij in storitev, saj uporaba PHP v nekaterih rešitvah ni vedno neposredno razvidna.

Kaj priporoča URSIV?

URSIV organizacijam priporoča:

1. Identifikacijo vseh sistemov in aplikacij, ki uporabljajo PHP.
2. Prednostno preverjanje sistemov, dostopnih prek interneta.
3. Takojšnjo namestitev varnostnih popravkov.
4. Spremljanje uradnih varnostnih obvestil in morebitnih poskusov izkoriščanja ranljivosti.
5. Če popravek še ni na voljo, začasno omejitev dostopa do izpostavljenih sistemov ali njihovo izolacijo iz javnih omrežij.

Ključno sporočilo

Če vaša organizacija uporablja PHP ali spletne rešitve, ki temeljijo na njem, je potreben takojšen pregled izpostavljenosti in namestitev varnostnih popravkov. Trenutno je posodobitev edini ukrep, ki ranljivosti zanesljivo odpravi, medtem ko drugi zaščitni ukrepi tveganje zgolj zmanjšujejo.

Kako se na podobne situacije pripraviti vnaprej?

Nedavno odkrite kritične ranljivosti v PHP so pokazale, da je uspešnost odziva organizacije v veliki meri odvisna od poznavanja lastnega informacijskega okolja. Organizacije, ki imajo vzpostavljen ažuren popis informacijskih sredstev, jasno evidentirane tehnološke odvisnosti ter urejene procese upravljanja sprememb, lahko bistveno hitreje identificirajo prizadete sisteme, ocenijo vpliv ranljivosti in izvedejo potrebne zaščitne ukrepe.

V številnih organizacijah se ob objavi kritične ranljivosti najprej pojavi vprašanje, kje vse se ranljiva tehnologija sploh uporablja. To velja zlasti za rešitve tretjih ponudnikov, kjer uporaba PHP ni vedno neposredno vidna. Prav zato so med prvimi priporočili URSIV, SI-CERT in evropske institucije izpostavili identifikacijo vseh sistemov in aplikacij, ki uporabljajo PHP.

Poleg popisa sredstev pomembno vlogo igra tudi učinkovito upravljanje sprememb. Kritične varnostne posodobitve je pogosto treba uvesti v zelo kratkih rokih, kar zahteva jasno določene odgovornosti, postopek odobravanja izrednih sprememb, evidenco sistemov in možnost preverjanja uspešnosti izvedenih posodobitev. Organizacije z vzpostavljenim procesom upravljanja sprememb lahko takšne aktivnosti izvajajo hitreje, bolj nadzorovano in z manjšim tveganjem za poslovanje.

Kako lahko pomaga Forvis Mazars?

Pri odzivih na kritične ranljivosti in pri krepitvi odpornosti organizacij pomagamo z:

• vzpostavitvijo in pregledom registra informacijskih sredstev,
• identifikacijo tehnoloških odvisnosti ter kritičnih poslovnih sistemov,
• oceno skladnosti z zahtevami ZInfV-1, NIS2 in drugimi regulatornimi zahtevami,
• vzpostavitvijo postopkov za upravljanje sprememb in izrednih popravkov,
• pregledom pripravljenosti za odzivanje na kibernetske incidente,
• izvedbo ocen tveganj in analiz vpliva na poslovanje,
• svetovanjem pri izboljšanju upravljanja informacijske in kibernetske varnosti.

Kritičnih ranljivosti ni mogoče preprečiti, mogoče pa se je nanje pripraviti. Organizacije, ki poznajo svoja sredstva, odvisnosti in procese, lahko ob podobnih dogodkih ukrepajo hitreje, učinkoviteje in z bistveno manjšimi posledicami za poslovanje.