Найдена серьёзная уязвимость в PHP; выпущено исправление, японские компании и ведомства приостанавливают сервисы
Коротко
IPA, организация при министерстве экономики, торговли и промышленности Японии, 21 октября сообщила, что в языке программирования PHP обнаружены серьёзные уязвимости; по имеющимся данным, им пользуется около 70% сайтов в мире. Команда разработчиков PHP опубликовала исправление примерно в 23:00 по времени Японии, а японские банки, министерство и торговые компании приостановили часть сервисов для проверки.
Читать полностью 2 мин чтения
IPA, которая подчиняется министерству экономики, торговли и промышленности, 21 октября объявила, что в PHP, языке программирования, используемом на веб-страницах, обнаружены серьёзные уязвимости. Она призвала компании и других участников быстро реагировать, установив исправление. Sankei сообщает, что организация, отвечающая за PHP, объявила о распространении исправления в 23:00 по японскому времени 21 числа, а Yomiuri сообщает, что команда разработчиков опубликовала его примерно в это же время. ITmedia сообщает, что патч был опубликован на сайте поздно 21 октября. [ 2 , 3 , 4 , 5 , 6 ]
По данным Jiji Press, команда разработчиков заявила о двух уязвимостях, обе связаны с тем, как программа использует память. При эксплуатации злоумышленник мог бы удалённо запускать произвольные программы и захватить сайт. И Jiji, и Yomiuri сообщают, что уязвимостям присвоен уровень «критический» — наивысший по международной шкале серьёзности. Jiji добавляет, что служба безопасности Google, которая помогла их найти, назвала их одними из самых серьёзных уязвимостей в истории программного обеспечения. Sankei же сообщает, что оператор не опубликовал подробностей. [ 2 , 5 , 7 ]
По данным W3Techs, европейской службы, исследующей веб-технологии, на которую ссылается Yomiuri, PHP используется примерно на 70% сайтов в мире. Yahoo! News Japan сослался на показатель 69,3% европейской исследовательской организации. Jiji сообщает, что PHP распространяется как открытое ПО и лежит в основе программного обеспечения Википедии и конструктора сайтов WordPress. Sankei описывает его как ведущий пример серверных скриптов, который также используется в приложениях для управления серверными базами данных. [ 2 , 4 , 5 , 7 ]
Национальное управление кибербезопасности опубликовало в X призыв быстро реагировать, установив исправление, и предупредило, что без надлежащих мер сайты могут быть скомпрометированы. Yahoo! News Japan передал комментарий одного из разработчиков в сети о том, что обновление — единственный безопасный вариант. Премьер-министр Санаэ Такаити опубликовала в X, что если реагировать трудно, временная приостановка сайта считается эффективным вариантом снижения риска. [ 3 , 4 , 5 ]
Организации в Японии приостановили часть сервисов. Yomiuri сообщает, что Министерство финансов временно приостановило часть своего веб-контента и сервисов для экстренной проверки и установки исправлений, Mizuho Bank приостановил онлайн-сервис бронирования визитов в магазины, а Rakuten Group провела экстренное обслуживание части страниц Rakuten Ichiba. Sankei сообщает, что онлайн-магазин BASE провёл экстренное обслуживание в целях предосторожности, а Токийский университет иностранных языков заявил, что проверит свои веб-серверы. Nishi-Nippon Shimbun пишет, что банки и другие организации приостановили часть сервисов из-за риска кибератак. [ 2 , 3 , 5 ]
Почему это важно
Японские издания сообщают, что PHP используется примерно на 70% сайтов в мире, а министерства, местные органы власти и компании спешно реагируют. IPA и Национальное управление кибербезопасности призвали как можно скорее установить исправление, а премьер-министр заявила, что приостановка сайта — один из вариантов, если установить исправление трудно.
Ключевые факты
- IPA, которая подчиняется министерству экономики, торговли и промышленности, 21 октября объявила, что в PHP обнаружены серьёзные уязвимости, и попросила компании быстро установить исправление. [ 3 , 4 ]
- Команда разработчиков PHP опубликовала исправление примерно в 23:00 по японскому времени 21 октября. [ 2 , 5 , 6 ]
- По имеющимся данным, PHP используется примерно на 70% сайтов в мире; Yahoo! News Japan сослался на показатель 69,3% европейской исследовательской организации. [ 1 , 2 , 4 , 5 , 7 ]
- Команда разработчиков сообщила о двух уязвимостях, обе связаны с тем, как программа использует память; им присвоен уровень «критический» — наивысший по международной шкале серьёзности. [ 5 , 7 ]
- Премьер-министр Санаэ Такаити опубликовала в X, что временная приостановка работы сайта — один из эффективных способов снизить риск, если устранить проблему трудно. [ 3 , 4 , 5 ]
- Министерство финансов, Mizuho Bank, Rakuten Ichiba, BASE и некоторые другие банки приостановили часть контента или сервисов для проверки или технического обслуживания. [ 2 , 3 , 5 ]
Подтверждено несколькими источниками
- IPA 21 октября объявила, что в PHP обнаружены серьёзные уязвимости, и призвала компании быстро реагировать. [ 2 , 3 , 4 ]
- Исправление для PHP было опубликовано поздно вечером 21 октября по японскому времени. [ 2 , 3 , 4 , 5 , 6 , 7 ]
- По приведённым данным, PHP используется примерно на 70% сайтов в мире. [ 1 , 2 , 4 , 5 , 7 ]
- Такаити опубликовала в X, что временная приостановка сайта — эффективный вариант, если устранить проблему трудно. [ 3 , 4 , 5 ]
- Национальное управление кибербезопасности опубликовало в X призыв быстро реагировать, используя исправление. [ 3 , 5 ]
- Банки и другие организации в Японии приостановили часть сервисов. [ 2 , 3 , 5 ]
Пока неясно
- В чём именно заключаются уязвимости. Sankei сообщает, что оператор не опубликовал подробностей, тогда как Jiji и Yomiuri привели сведения из информации команды разработчиков (две уязвимости, связанные с памятью, с уровнем «критический»).
- Когда уязвимости были объявлены впервые. Yahoo! News Japan сообщает, что разработчики объявили о двух серьёзных уязвимостях к началу 21 числа по японскому времени, тогда как другие издания описывают публикацию исправления примерно в 23:00 того же дня.
- Произошла ли какая-либо реальная атака. В документах описан риск кибератак и захвата сайтов, но ни один не сообщает о подтверждённой атаке.
Что пишут местные СМИ
Хронология, местное время
- Sankei сообщает, что оператор PHP объявил о распространении исправления в 23:00 по японскому времени. [ 2 ]
- Nishi-Nippon Shimbun сообщает об объявлении IPA и о том, что банки приостановили часть сервисов. [ 3 ]
- Команда разработчиков PHP публикует исправление примерно в это время. [ 2 , 5 ]
- Yomiuri сообщает, что Министерство финансов, Mizuho Bank и Rakuten приостановили часть контента или сервисов. [ 5 ]
- ITmedia сообщает, что исправление было опубликовано поздно 21 октября. [ 6 ]
- Jiji Press сообщает, что команда разработчиков выпустила исправленную версию. [ 7 ]