NKSC paskelbė DUK apie PHP kritinius pažeidžiamumus

Laikinai neveikiančios interneto svetainės ir sutrikusios paslaugos – taip atrodo PHP programinės įrangos pažeidžiamumų šalinimas visame pasaulyje. Nacionalinis kibernetinio saugumo centras prieš Krašto apsaugos ministerijos (NKSC) ragina Lietuvos organizacijas nedelsiant užkardyti PHP kritinius pažeidžiamumus ir taip užtikrinti tiek interneto svetainių saugumą, tiek veiklos tęstinumą.

Žemiau pateikiame DUK:

1. Kas įvyko?

PHP projekto komanda spalio 20 d. (vakare Lietuvos laiku) pranešė apie du kritinius pažeidžiamumus ir kad kitą dieną bus išleistas atnaujinimas jų valdymui.

Identifikuoti pažeidžiamumai CVE-2026-109618 ir CVE-2026-109619 yra klasifikuoti kaip labai pavojingi. Jų pavojingumas pagal CVSS v4.0 skalę įvertintas 9,2 balo iš 10. Spalio 21 d. 16:52 val. Lietuvos laiku buvo išleistas atnaujinimas, ištaisantis abu kritinius pažeidžiamumus. NKSC spalio 21 d. ryte, dar prieš išleidžiant atnaujinimus, išplatino informaciją apie tai kibernetinio saugumo subjektams ir vėliau apie tai paskelbė visuomenei.

2. Kaip pasireiškia šio PHP pažeidžiamumo žala?

Remiantis šiuo metu turima informacija, pasinaudoję šiomis spragomis, piktavaliai pažeidžiamoje sistemoje gali savavališkai vykdyti komandas, neatlikę tapatybės patvirtinimo.

3. Kiek tai yra aktualu Lietuvai?

Tai yra labai aktualu, nes PHP sprendimą naudoja apie 80 proc. Lietuvos interneto svetainių, taip pat kitos informacinės sistemos bei programinė įranga, pasiekiama internetu. NKSC šį atvejį vertina kaip didelę grėsmę Lietuvos kibernetinei erdvei.

NKSC primygtinai rekomenduoja kuo greičiau įsidiegti PHP atnaujinimus. Nesant tokiai galimybei ir siekiant išvengti potencialios žalos, rekomenduojama sistemą izoliuoti nuo interneto.

NKSC šiuo metu keičiasi informacija su partneriais kitose valstybėse ieškant kitų šio pažeidžiamumo valdymo būdų.

4. Kokios yra pagrindinės rekomendacijos dėl šio PHP pažeidžiamumo valdymo?

Organizacijos turėtų atlikti savo valdomų informacinių išteklių bei naudojamos programinės įrangos, prieinamos internetu, inventorizaciją. Partneriai skelbia programinės įrangos, kuri gali būti paveikta dėl PHP naudojimo, sąrašą, prieinamą šiuo adresu: https://github.com/NCSC-NL/php2shell/blob/main/software/software_list.md

Identifikavus tokį pažeidžiamos PHP versijos naudojimą, įsidiegti PHP programinės įrangos atnaujinimą, kuris pasiekiamas PHP svetainėje: https://www.php.net, arba atitinkamos programinės įrangos gamintojo svetainėje.

Jei atnaujinimų negalite iš karto įdiegti – PHP komanda pateikė papildomus žingsnius, kaip galima sumažinti pažeidžiamumų išnaudojimo tikimybę. Tačiau pilnai panaikinti riziką galima tik įdiegus saugumo atnaujinimą.

Jei yra naudojama nebepalaikoma PHP versija, kuriai nėra saugumo atnaujinimų – ją reikia izoliuoti nuo interneto ir įsivertinti galimybes migruoti į palaikomą versiją.

5. Ar NKSC turi duomenų, kiek institucijų, verslo subjektų gali turėti tokį PHP pažeidžiamumą, kiek iš jų ėmėsi priemonių, ar jau susitvarkė?

NKSC nuo spalio 20 d. vykdo vertinimą, renka informaciją ir pirmiausia siekia informuoti pažeidžiamų interneto svetainių valdytojus apie identifikuotus pažeidžiamumus. Didžioji dalis svetainių valdytojų naudojasi kelių didžiausių Lietuvos prieglobos paslaugų tiekėjų paslaugomis ir ten talpina savo svetaines. NKSC duomenimis, šie prieglobos paslaugų tiekėjai savo klientams, kurie naudojasi bendromis prieglobos paslaugomis (angl. shared hosting) jau pritaikė bendrus technologinius sprendimus. NKSC šiuo metu atlieka papildomą visų Lietuvos interneto svetainių skenavimą. Dėl proceso technologinių apribojimų, tikslios statistikos pateikti negalime.

6. Ką daryti, jeigu nėra galimybės įdiegti reikiamos versijos atnaujinimo?

Jei infrastruktūroje yra naudojama nebepalaikoma PHP versija, kuriai nėra saugumo atnaujinimų – ją reikia izoliuoti nuo interneto ir įsivertinti galimybes migruoti į palaikomą versiją.