Kaksi kriittistä tietoturva-aukkoa tekniikassa, joka on suuren osan verkosta taustalla, voivat antaa luvattomien käyttäjien muokata verkkosivustoja ja varastaa tietoja ilman kirjautumista. Korjauspäivitykset julkaistiin keskiviikkona, mutta jonkun on asennettava ne palvelimelle.
Aukot ovat PHP:ssä, ohjelmointikielessä, joka toimii taustalla verkkosivua avattaessa ja rakentaa sen, mitä vierailija näkee. PHP-projekti sanoo, että molemmat aukot saavat arvosanan 9,2 kymmenportaisella asteikolla ja ne on luokiteltu kriittisiksi.
Tekninen termi on etäkoodin suorittaminen (remote code execution): ulkopuolinen voi saada palvelimen ajamaan omia komentojaan. Tietoturvayhtiö watchTowrin mukaan tätä voidaan käyttää verkkosivustojen muokkaamiseen ja tietojen varastamiseen. Verkkosivuston omistajalle pahin skenaario on sivuston sisällön korvautuminen tai palvelimen käsittelemien tietojen päätyminen vääriin käsiin.
Kaikki asennukset, jotka vastaanottavat verkkopyyntöjä, ovat alttiita, ja riski on suurin mod_php-palvelinkonfiguraatiossa PHP-projektin mukaan.
Kuinka suuri riski verkkoon kohdistuu?
Julkaisualusta WordPress pyörittää yli 40 prosenttia maailman verkkosivustoista, WordPress itse raportoi. Luku osoittaa, kuinka laajalti käytetty alusta on, ei sitä, kuinka moni sivusto on todellisuudessa haavoittuva tai hyökkäyksen kohteena. Silti tietoturvayhtiö Wordfence kirjoittaa, että kaikki WordPress-sivustot toimivat palvelimilla, joissa on PHP, ja ne ovat siksi päivityksen piirissä.
WordPressin omat päivitykset eivät korjaa palvelimella olevaa PHP:tä. Web-hotellin tarjoajan tai palvelimen ylläpitäjän on päivitettävä se, ja monet hotellipalvelut tekevät sen automaattisesti. Jokaisen, joka ylläpitää omaa palvelintaan, on tehtävä työ itse.
PHP-projekti julkaisi korjaukset 21. lokakuuta. Ne sisältyvät versioihin PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1 ja vanhemmat versiot eivät enää saa säännöllisiä päivityksiä, mutta projekti on julkaissut minimaalisia lähdekoodikorjauksia versioille 7.4, 8.0 ja 8.1 niille, jotka rakentavat omat ohjelmistonsa.
EU:n tietotekniikan hätätiimi CERT-EU suosittelee, että organisaatiot, jotka eivät pysty päivittämään välittömästi, harkitsevat julkiseen internetiin suuntautuvien sovellusten eristämistä, kunnes päivitys voidaan asentaa.
Kysymys lukijoille
Kuinka luottavainen olet siihen, että käyttämäsi verkkosivustot suojaavat henkilötietosi?
