Polska gasi rządowe strony. Krytyczna dziura

Polska idzie śladem wielu europejskich stron i decyduje się na „czasowe wyłączenie” wybranych witryn. Wszystko przez „PHPokalipsę”.

„Zespół CERT Polska ostrzega przed dwiema krytycznymi podatnościami w oprogramowaniu PHP, które pozwalają na zdalne wykonanie kodu” – poinformowała instytucja w komunikacie opublikowanym już 21 października.

Jak wyjaśniono, rekomendowanym działaniem jest aktualizacja oprogramowania, a do tego czasu polecono „tymczasowe wyłączenie usług wykorzystujących PHP dostępnych z Internetu, o ile nie zakłóci to działalności organizacji”.

Na taki krok zdecydowało się Ministerstwo Cyfryzacji po spotkaniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa:

Centralny Ośrodek Informatyki, podjął decyzję o czasowym wyłączeniu stron Biuletynu Informacji Publicznej (BIP) działających w Systemie Scentralizowanego Dostępu do Informacji Publicznej (SSDIP). To system umożliwiający instytucjom publicznym prowadzenie stron Biuletynu Informacji Publicznej (BIP) – napisał Krzysztof Gawkowski, minister cyfryzacji.

Jak zaznaczył, czasowa niedostępność dotyczy wyłącznie stron działających w serwisie ssdip.bip.gov.pl, a nie wszystkich stron BIP w Polsce. „Czasowe wyłączenie serwisu pozwoli wprowadzić niezbędne zabezpieczenia i zadbać o jego bezpieczne działanie” – zapewnił szef resortu.

Ministerstwo tłumaczy, iż luki pozwalają atakującemu na „zdalne wykonanie dowolnych poleceń systemowych poprzez błędy w mechanizmie zarządzania pamięcią”. Podatne są wszystkie wersje PHP od 5.4 w górę.

Język programowania PHP jest wykorzystywany również przez wiele rodzajów popularnego oprogramowania, np. WordPress, Joomla czy WooCommerce. Oznacza to, iż systemy wykorzystujące to oprogramowanie również są podatne – zaznacza resort.

Na wyłączenie państwowych stron zdecydowało się wiele krajów. Jak relacjonował Łukasz Olejnik, specjalista ds. cyberbezpieczeństwa, podobnie już wcześniej podobnie postąpiono w wielu polskich firmach czy uczelniach. „Nie można zhakować czegoś czego nie ma w Internecie” – zauważył.

CERT Polska apeluje, aby w przypadku wykrycia śladów wykorzystania podatności zgłosić zdarzenie dzięki formularza dostępnego na stronie incydent.cert.pl.

Choć pojawiły się zarzuty, iż sam minister cyfryzacji dość późno poinformował o luce, to warto zaznaczyć, iż zarówno CERT Polska czy CSIRT KNF komunikaty wysyłały z wyprzedzeniem.