НКЦКИ при ФСБ: критической инфраструктуре предписано обновить PHP или отключить сайты
НКЦКИ при ФСБ 22 октября предписал через ГосСОПКА субъектам критической инфраструктуры обновить PHP из-за двух критических уязвимостей или временно ограничить внешний доступ к уязвимым веб-серверам вплоть до отключения. Уязвимости, найденные ИИ, позволяют удаленно получить контроль над сайтом без пароля и извлечь из памяти сервера секретные данные. На PHP работают 90,8% русскоязычных сайтов, аналогичные меры уже принимали США, Япония, Финляндия и Чехия.
Национальный координационный центр по компьютерным инцидентам (НКЦКИ, действует при ФСБ) направил 22 октября владельцам субъектов критической информационной инфраструктуры письмо с предписанием временно отключать сайты, если обновить PHP быстро невозможно, пишет РБК. Поводом стали две критические уязвимости в PHP, из-за которых сайты массово отключали по всему миру. Копия письма есть у РБК, его подлинность подтвердили три организации-получателя.
Директива разослана через ГосСОПКА — госсистему обнаружения, предупреждения и ликвидации последствий компьютерных атак. Ее координацию ведет НКЦКИ, все субъекты критической инфраструктуры обязаны взаимодействовать с ФСБ через НКЦКИ и ГосСОПКА по вопросам кибербезопасности. Под действие предписания подпадают сети связи и информационные системы госорганов, финансовых, энергетических, транспортных, медицинских и ряда других компаний.
В письме НКЦКИ предписано обновить PHP до исправленной версии, а после — проверить серверы антивирусом и изучить журналы на следы взлома. Если обновить систему быстро невозможно, организации должны «рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам вплоть до их отключения». О подозрительных инцидентах предписано сообщать в дежурный центр ГосСОПКА.
Причиной требования стали две критические уязвимости в PHP, найденные искусственным интеллектом. Они позволяют злоумышленнику удаленно получить контроль над сайтом, даже не зная пароля, а также взломать сервер и вытащить из его памяти пароли, ключи и другие секретные данные. Уязвимости относятся к максимальной степени опасности — 9,2 балла из 10. 21 октября разработчики PHP выпустили экстренное обновление, закрывшее обе уязвимости.
По данным аналитического портала W3Techs, на PHP работают 90,8% сайтов с контентом на русском языке, а всего в мире — 69,3%. Среди них — Wikipedia, Flickr, Tumblr, Slack, MailChimp, Facebook (принадлежит Meta, компания признана экстремистской и запрещена в России) и др.
На проблему отреагировали власти и специалисты по кибербезопасности разных стран: они призвали владельцев сайтов на PHP загрузить обновления, а при невозможности сделать это быстро — временно отключить сайты. С такими рекомендациями выступили, в частности, Агентство национальной безопасности США и премьер-министр Японии Санаэ Такаити. Свои государственные веб-сервисы временно закрыли Финляндия и Чехия, МИД Бельгии и Минфин Японии; превентивно отключили сайты также префектуры Франции, порт Роттердама, Футбольная ассоциация Нидерландов (KNVB), пять крупнейших партий и несколько больниц страны. Часть систем на время устранения уязвимостей закрыла и Wikimedia, управляющая Wikipedia. Гендиректор Cloudflare Мэттью Принс сообщал, что уязвимости PHP «пытались эксплуатировать миллионы раз» после публичного заявления об ошибках в коде.
В России первыми начали реагировать хостинг-провайдеры — они уведомили клиентов, а «Лаборатория Касперского» и «1С-Битрикс» выпустили рекомендации. Как сообщили в компании «Гарда», уязвим сам язык PHP, а не конкретные программы — обновление WordPress, Drupal или Joomla проблему не решат. По оценке компании, в России огромное количество сайтов написано на PHP, поэтому уязвимость могла затронуть десятки, а то и сотни тысяч ресурсов Рунета; из-за найденных уязвимостей можно ожидать серьезной волны атак в ближайшее время.
Читайте также
