Центр, связанный с ФСБ, велит объектам критической инфраструктуры ограничить доступ к сайтам из-за уязвимостей PHP
Коротко
Национальный координационный центр по компьютерным инцидентам (НКЦКИ), действующий при ФСБ, 22 октября призвал операторов объектов критической информационной инфраструктуры установить исправленную версию PHP. Если это нельзя сделать быстро, им следует рассмотреть ограничение внешнего доступа к уязвимым веб-серверам, вплоть до их отключения. Поводом стали две критические уязвимости PHP с оценкой 9,2 из 10, одна из которых обнаружена с помощью искусственного интеллекта.
Читать полностью 2 мин чтения
Национальный координационный центр по компьютерным инцидентам (НКЦКИ), действующий при ФСБ, поручил российским организациям, эксплуатирующим критическую информационную инфраструктуру, временно ограничить доступ к уязвимым сайтам, если они не могут быстро обновить PHP. iXBT сообщил, что владельцы таких систем получили письмо от 22 октября. Документ охватывает органы государственной власти, финансовые организации, предприятия энергетики и транспорта, медицинские учреждения и другие критические объекты. РБК впервые сообщил о письме 22 октября, а Habr News написал, что три организации-адресата подтвердили его подлинность РБК. [ 1 , 2 , 4 ]
По данным iXBT, НКЦКИ требует от адресатов установить исправленную версию PHP, проверить серверы антивирусным ПО и изучить журналы событий на признаки компрометации. Если программное обеспечение нельзя быстро обновить, организациям следует рассмотреть ограничение внешнего доступа к уязвимым веб-серверам, вплоть до их полного отключения. О подозрительных инцидентах нужно сообщать в ГосСОПКА, государственную систему противодействия кибератакам, через которую распространялась директива, по данным Коммерсанта и Habr News. В сводке ТАСС сказано, что НКЦКИ советует сначала обновить PHP до последних версий, в которых уязвимости устранены. [ 2 , 3 , 4 , 5 ]
Причина — две критические уязвимости PHP, одна из которых обнаружена с помощью искусственного интеллекта, написал iXBT. Они позволяют атакующим удаленно атаковать сайты, захватить контроль над сервером и извлечь конфиденциальные данные из его памяти, включая пароли и криптографические ключи. Уязвимости получили оценку серьезности 9,2 из 10. Коммерсант сообщил, что разработчики сообщили об обнаружении с помощью ИИ 20 октября и объявили об исправляющем обновлении на следующий день; iXBT сообщил, что экстренные обновления для обеих проблем вышли 21 октября. [ 2 , 3 ]
iXBT сослался на данные W3Techs: PHP используется на 90,8% русскоязычных сайтов и на 69,3% всех сайтов в мире. Он добавил, что обновление WordPress, Drupal или Joomla само по себе проблему не решает, поскольку уязвимости затрагивают сам PHP. Коммерсант сообщил, что более 90% русскоязычных сайтов работают на PHP, что, по его словам, ставит под угрозу десятки или сотни тысяч ресурсов Рунета. [ 2 , 3 ]
В сводке РБК говорилось, что из-за уязвимостей сайты массово отключались по всему миру. iXBT сообщил, что власти и специалисты по кибербезопасности нескольких стран призывали владельцев сайтов установить исправления и, при необходимости, временно отключать сайты, а некоторые государственные органы и организации в Европе и Японии уже ограничили доступ к своим ресурсам. Habr News сообщил, что центры кибербезопасности в других странах выпустили схожие рекомендации, но в России указание о конкретном программном обеспечении исходит напрямую от структуры ФСБ. [ 1 , 2 , 4 ]
Почему это важно
По данным W3Techs, которые приводит iXBT, PHP используется на 90,8% русскоязычных сайтов и на 69,3% всех сайтов, поэтому уязвимости касаются очень большого числа ресурсов. Habr News отметил, что указание о конкретном программном обеспечении исходит непосредственно от структуры ФСБ, и сообщил, что центры в других странах выпустили схожие рекомендации.
Ключевые факты
- НКЦКИ, действующий при ФСБ, направил 22 октября письмо владельцам объектов критической информационной инфраструктуры, в том числе органам государственной власти, финансовым, энергетическим, транспортным и медицинским организациям и другим. [ 2 , 3 , 4 ]
- В письме адресатам предписано установить исправленную версию PHP, проверить серверы антивирусом и изучить журналы на предмет возможной компрометации. [ 2 , 3 , 4 ]
- Если PHP нельзя быстро обновить, адресатам следует ограничить внешний доступ к уязвимым веб-серверам или полностью их отключить. [ 2 , 3 , 4 ]
- О подозрительных инцидентах нужно сообщать в ГосСОПКА, государственную систему противодействия кибератакам. [ 2 , 4 ]
- Две критические уязвимости PHP с оценкой 9,2 из 10 позволяют проводить удаленные атаки на сайты и получать контроль над сервером. [ 2 , 3 ]
- Разработчики объявили об обнаружении уязвимостей с помощью ИИ 20 октября и выпустили экстренные обновления 21 октября. [ 2 , 3 ]
- Данные W3Techs, приведенные iXBT, показывают, что PHP используется на 90,8% русскоязычных сайтов и на 69,3% всех сайтов в мире. [ 2 ]
Подтверждено несколькими источниками
- НКЦКИ при ФСБ поручил операторам критической инфраструктуры обновить PHP, а там, где это нельзя сделать быстро, ограничить внешний доступ к уязвимым веб-серверам или отключить их. [ 1 , 2 , 3 , 4 , 5 ]
- Поводом для указания стали две критические уязвимости PHP с оценкой 9,2 из 10. [ 2 , 3 ]
- Письмо было распространено через систему ГосСОПКА и предлагает адресатам проверить серверы антивирусом. [ 3 , 4 ]
Пока неясно
- Предписывает ли письмо отключение или только просит адресатов рассмотреть ограничение доступа. В сводке РБК говорится, что сайты должны быть временно отключены, а iXBT и Habr News пишут, что организации должны рассмотреть ограничение доступа вплоть до полного отключения.
- Подлинность письма. Habr News сообщает, что три организации-адресата подтвердили его РБК; в других документах об этом не упоминается.
- Сколько российских сайтов реально под угрозой или уже отключены. Коммерсант пишет, что под угрозой десятки или сотни тысяч ресурсов Рунета, но ни один документ не называет число затронутых или отключенных российских сайтов.