Útočníci už zneužívají kritické chyby v PHP na webových serverech

Kritické zranitelnosti v PHP už útočníci využívají k napadání webů. Chyby mohou vést k narušení zabezpečení webových serverů. Nouzové opravy mají vyjít dnes v 16:00.

Konkrétní verze PHP, označení jednotlivých zranitelností ani rozsah dosavadních útoků zatím nejsou známy. Nelze proto určit, kolika serverů se problém týká ani kolik jich už bylo napadeno. Bez seznamu dotčených verzí také není možné zjistit, zda mezi ně patří verze používaná na konkrétním serveru.

Nouzové opravy mají být vydány dnes v 16:00. Tento čas označuje vydání oprav, nikoli jejich nasazení na jednotlivé servery. Zatím není známo, zda bude možné opravy nainstalovat automaticky, jak dlouho aktualizace potrvá ani zda si vyžádá odstávku webu. Není stanoven ani termín, do kterého mají být servery opraveny. Nejasné zůstává také to, zda všechny opravy vyjdou současně a pro všechny podporované verze PHP.

Mezi vydáním oprav a jejich instalací může vzniknout období, kdy už bude aktualizace dostupná, ale jednotlivé servery ji ještě nebudou mít nasazenou. U více webů může být nutné nejprve zjistit verzi PHP u každého z nich a určit pořadí aktualizací. Pokud aktualizace vyžaduje zásah správce nebo kontrolu kompatibility webu, samotné zveřejnění opravy zranitelnost na daném serveru neodstraní.

Samotné používání PHP podle dostupných údajů neznamená, že byl web napaden. U webu běžícího na PHP lze ověřit, kdo server spravuje, jakou verzi používá a kdo zajistí instalaci opravy. Teprve po zveřejnění seznamu dotčených verzí půjde posoudit, zda konkrétní server potřebuje aktualizaci a zda její nasazení ovlivní provoz webu.