Центр при ФСБ предписал отключать сайты из-за уязвимости в PHP

Национальный координационный центр по компьютерным инцидентам (НКЦКИ), действующий при ФСБ, предписал объектам критической информационной инфраструктуры временно отключать сайты, если они не успевают обновить программное обеспечение из-за уязвимостей в PHP. Об этом сообщает РБК со ссылкой на письмо центра.

К критической инфраструктуре относятся сети связи и информационные системы госорганов, финансовых, энергетических, транспортных, медицинских и ряда других компаний. НКЦКИ разослал письмо их владельцам 22 октября. Копия документа есть у РБК, его подлинность изданию подтвердили три организации-получателя.

Директиву распространили через ГосСОПКА, государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы. Ее работу координирует НКЦКИ, и по вопросам кибербезопасности все объекты критической инфраструктуры обязаны взаимодействовать с ФСБ через центр и ГосСОПКА.

В письме организациям предписано обновить PHP до исправленной версии, после чего проверить серверы антивирусом и изучить журналы на следы взлома. Если быстро обновить систему невозможно, они должны «рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам вплоть до их отключения». О подозрительных инцидентах нужно сообщать в дежурный центр ГосСОПКА.

Поводом для требования НКЦКИ стали две критические уязвимости в языке программирования PHP, которые обнаружил искусственный интеллект. Они позволяют злоумышленнику удаленно получить контроль над сайтом без пароля, а также взломать сервер и извлечь из его памяти пароли, ключи и другие секретные данные. Уязвимости относятся к максимальной степени опасности, их оценка составляет 9,2 балла из 10. Разработчики PHP закрыли обе уязвимости экстренным обновлением 21 октября.

По данным аналитического портала W3Techs, на PHP работают 90,8% сайтов с контентом на русском языке и 69,3% сайтов в мире. Среди них Wikipedia, Flickr, Tumblr, Slack, MailChimp, Facebook (принадлежит Meta, компания признана экстремистской и запрещена в России) и другие.

Власти и специалисты по кибербезопасности в разных странах призвали владельцев сайтов на PHP установить обновления, а если быстро сделать это невозможно, временно отключить сайты. Такие рекомендации дали, в частности, Агентство национальной безопасности США и премьер-министр Японии Санаэ Такаити. Финляндия и Чехия временно закрыли свои государственные веб-сервисы, так же поступили МИД Бельгии и Минфин Японии. Превентивно отключили сайты префектуры Франции, порт Роттердама, футбольная ассоциация Нидерландов (KNVB), пять крупнейших партий и несколько больниц страны. Wikimedia, которая управляет Wikipedia, закрыла часть систем на время устранения уязвимостей. По словам гендиректора Cloudflare Мэттью Принса, после публичного сообщения об ошибках в коде уязвимости PHP «пытались эксплуатировать миллионы раз».

В России на угрозу первым отреагировал бизнес. Хостинг-провайдеры начали уведомлять клиентов, а «Лаборатория Касперского» и «1С-Битрикс» выпустили рекомендации. Как рассказал РБК бизнес-партнер по инновационному развитию компании «Гарда» и технический директор «Гарда WAF» Лука Сафонов, уязвим сам язык PHP, а не отдельные программы, поэтому обновление WordPress, Drupal или Joomla проблему не решит.

«В России огромное количество сайтов написаны на PHP, поэтому уязвимость могла затронуть десятки, а то и сотни тысяч ресурсов Рунета», — отметил Сафонов. По его мнению, из-за найденных уязвимостей в ближайшее время можно ожидать серьезной волны атак.

^{Фото на обложке: Unsplash}