Polska gasi rządowe strony. Krytyczna dziura
Polska idzie śladem wielu europejskich stron i decyduje się na "czasowe wyłączenie" wybranych witryn. Wszystko przez "PHPokalipsę".
"Zespół CERT Polska ostrzega przed dwiema krytycznymi podatnościami w oprogramowaniu PHP, które pozwalają na zdalne wykonanie kodu" - poinformowała instytucja w komunikacie opublikowanym już 21 października.
Jak wyjaśniono, rekomendowanym działaniem jest aktualizacja oprogramowania, a do tego czasu polecono "tymczasowe wyłączenie usług wykorzystujących PHP dostępnych z Internetu, o ile nie zakłóci to działalności organizacji".
Na taki krok zdecydowało się Ministerstwo Cyfryzacji po spotkaniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa:
Centralny Ośrodek Informatyki, podjął decyzję o czasowym wyłączeniu stron Biuletynu Informacji Publicznej (BIP) działających w Systemie Scentralizowanego Dostępu do Informacji Publicznej (SSDIP). To system umożliwiający instytucjom publicznym prowadzenie stron Biuletynu Informacji Publicznej (BIP) - napisał Krzysztof Gawkowski, minister cyfryzacji.
Jak zaznaczył, czasowa niedostępność dotyczy wyłącznie stron działających w serwisie ssdip.bip.gov.pl, a nie wszystkich stron BIP w Polsce. "Czasowe wyłączenie serwisu pozwoli wprowadzić niezbędne zabezpieczenia i zadbać o jego bezpieczne działanie" - zapewnił szef resortu.
Ministerstwo tłumaczy, że luki pozwalają atakującemu na "zdalne wykonanie dowolnych poleceń systemowych poprzez błędy w mechanizmie zarządzania pamięcią". Podatne są wszystkie wersje PHP od 5.4 w górę.
Język programowania PHP jest wykorzystywany również przez wiele rodzajów popularnego oprogramowania, np. WordPress, Joomla czy WooCommerce. Oznacza to, że systemy wykorzystujące to oprogramowanie również są podatne - zaznacza resort.
Na wyłączenie państwowych stron zdecydowało się wiele krajów. Jak relacjonował Łukasz Olejnik, specjalista ds. cyberbezpieczeństwa, podobnie już wcześniej podobnie postąpiono w wielu polskich firmach czy uczelniach. "Nie można zhakować czegoś czego nie ma w Internecie" - zauważył.
CERT Polska apeluje, aby w przypadku wykrycia śladów wykorzystania podatności zgłosić zdarzenie za pomocą formularza dostępnego na stronie incydent.cert.pl.
Choć pojawiły się zarzuty, że sam minister cyfryzacji dość późno poinformował o luce, to warto zaznaczyć, że zarówno CERT Polska czy CSIRT KNF komunikaty wysyłały z wyprzedzeniem.
W Spider’s Web od kwietnia 2021 zajmuje się tematami związanymi z ekologią, przyrodą, ochroną środowiska, architekturą, miastami przyszłości, transportem publicznym z pociągami na czele i, rzecz jasna, wpływem technologii na nasze zwykłe życie. Zaczynał od pisania o grach – przede wszystkim w serwisie gamezilla.pl, z przerwą na gram.pl. Następnie zajął się opisywaniem technologii, robiąc to w takich portalach jak next.gazeta.pl, a potem serwisach technologicznych grupy WP (tech.wp.pl, dobreprogramy.pl, gadżetomania.pl – będąc redaktorem prowadzącym – czy polygamia.pl). Prywatnie fan Morrisseya, morza, bloków z wielkiej płyty i dziwnych budynków, o których zdarza mu się zresztą pisać.