PHP ievainojamība: vai jūsu mājaslapa ir apdraudēta?
21. oktobrī PHP izlaida ārkārtas labojumus divām kritiskām ievainojamībām, kas ļauj uzbrucējam bez paroles palaist savu kodu jūsu serverī. Tās skar WordPress, Joomla, Drupal un citas PHP vietnes.
Kas notika
- Abām ievainojamībām (CVE-2026-109618 un CVE-2026-109619) ir CVSS bīstamības novērtējums 9.2 no 10.
- CERT.LV: skartas visas PHP versijas, sākot no PHP 5. WordPress, Drupal un Joomla vietnēm uzbrukums iespējams bez pieslēgšanās.
- 21. oktobrī piesardzības nolūkā uz laiku tika atslēgts LSM portāls un vairāku valsts iestāžu mājaslapas.
- Rapid7 ziņo, ka pētījumu jau neatkarīgi atkārto citi, un drīz gaidāms publisks uzbrukuma rīks. Tas jārisina tuvākajās dienās, nevis nedēļās.
Vai esat drošībā?
Drošas ir PHP versijas 8.5.12, 8.4.27, 8.3.36 un 8.2.35 (vai jaunākas). PHP 8.1 un vecākām versijām oficiālie labojumi var netikt izlaisti, tāpēc tur vajadzīga jaunināšana vai komerciāls pagarinātais atbalsts.
Ja vietni nav iespējams atjaunināt uzreiz, CERT.LV iesaka ierobežot piekļuvi tai, vismaz no ārvalstīm.
PHP versiju parasti var redzēt hostinga panelī. Ja nezināt, kur skatīties, vai lapu kādreiz izveidoja cits izstrādātājs, palīdzēsim to noskaidrot.
Ko piedāvājam
Pirmie 3 pieteicēji
Bezmaksas iespējamās ietekmes novērtējums jūsu mājaslapai.
Sabiedriskā labuma organizācijas
Pirmajām trim: bezmaksas ietekmes izvērtējums un standarta labojumi. Pārējām: 40% atlaide, 150 EUR + PVN.
Standarta labojums
250 EUR + PVN fiksēti: ietekmes izvērtējums un standarta labojumi (līdz 3 h), tāpat kā SLO.
Sarežģītāki gadījumi
Vecas PHP versijas, nestandarta hostings vai pazīmes, ka lapa jau uzlauzta: vispirms tāme, tad darbs.
Kā tas notiek
- Aizpildiet formu zemāk. Tas aizņem pāris minūtes.
- Apskatām vietni no ārpuses, bez uzbrukuma mēģinājumiem. Vietnes darbību tas neietekmē.
- Pastāstām, ko redzam. No ārpuses parasti nevar droši noteikt PHP versiju un to, vai vietne jau nav uzlauzta, tāpēc bieži vajadzīga pārbaude ar piekļuvi hostingam. Rezultātus sūtām tikai vietnes īpašniekam. Parasti pietiek ar saziņu no jūsu organizācijas e-pasta. Ja tas nav iespējams, vienosimies, kā citādi pārliecināties, ka pārstāvat vietnes īpašnieku.
- Ar jūsu rakstisku atļauju un piekļuvi hostingam pārbaudām precīzi un pasakām, vai labojums ietilpst fiksētajā cenā. Par drošu piekļuves nodošanu vienosimies atsevišķi.
- Labojam. Apmaksa pēc diagnozes ar bankas pārskaitījumu vai karti.
Ko varam noteikt bez piekļuves, un ko ne
No ārpuses bieži varam noteikt
- kur vietne izvietota un kāda servera programmatūra tiek izmantota
- WordPress, Joomla vai Drupal versiju
- spraudņu un tēmu versijas, kas redzamas lapas kodā
- vai vietni sargā ugunsmūris vai CDN (piemēram, Cloudflare)
- vai Google ir atzīmējis vietni kā bīstamu vai indeksējis tajā svešas lapas
Cik daudz var redzēt, atkarīgs no tā, cik rūpīgi vietne iestatīta. Ja vietne ir aiz Cloudflare vai cita aizsargslāņa, servera informācija parasti nav redzama.
Bez piekļuves nevaram droši noteikt
- precīzu PHP versiju (to parasti slēpj)
- vai vietne jau nav uzlauzta: slēptas lapas, ļaunatūra vai novirzīšana, kas parastam apmeklētājam neparādās
- servera iestatījumus un žurnālus
Ko nedarām nekad
- nemēģinām izmantot ievainojamību vai "nogāzt" vietni
- neminam paroles
- neveicam slodzes testus vai agresīvu skenēšanu
Lūdzu, nesūtiet paroles un piekļuves datus formā. Ja tie būs nepieciešami, vienosimies par drošu nodošanas veidu.
Visu saņemto informāciju par jūsu sistēmām izmantojam tikai pārbaudei un labojumiem. Atrastās nepilnības nepubliskojam bez jūsu rakstiskas piekrišanas. Sīkāk: privātuma politika.
Pieteikties
Steidzami (pamanītas aizdomīgas izmaiņas lapā)? Rakstiet uzreiz: [email protected]
Avoti
- CERT.LV: Kritiskas ievainojamības PHP programmatūrā
- LSM: Kiberdrošības eksperts: Atklātais drošības caurums programmatūrā ir bīstamākā ievainojamība, ko atceros
- LSM: Kiberdrošības risku dēļ uz laiku bija apturēta LSM portāla darbība; atjauno arī valsts iestāžu mājaslapu darbību