Luka w PHP: część stron BIP wyłączona, administratorzy mają pilnie aktualizować

Centralny Ośrodek Informatyki czasowo wyłączył strony Biuletynu Informacji Publicznej działające w systemie SSDIP. Decyzja ma związek z podatnościami w oprogramowaniu PHP, technologii, na której opiera się wiele serwisów internetowych na świecie. Jak podało Ministerstwo Cyfryzacji, wyłączenie ma pozwolić wprowadzić niezbędne zabezpieczenia i zadbać o bezpieczne działanie systemu.

Które strony są wyłączone

Resort wyjaśnił, że czasowa niedostępność dotyczy wyłącznie stron działających w serwisie ssdip.bip.gov.pl, a nie wszystkich stron BIP w Polsce. Serwis Puls Biznesu podaje, że chodzi o ponad 8 tys. stron. Ta liczba pochodzi z jego zajawki i nie została potwierdzona w komunikatach resortu.

Minister cyfryzacji Krzysztof Gawkowski napisał na platformie X, że w tej sprawie odbyło się spotkanie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa. Według niego przygotowano plan działań, który jest obecnie wdrażany.

Od czwartku po godz. 16 Centralny Ośrodek Informatyki planuje przywrócić możliwość przeglądania wcześniej opublikowanych informacji. Na tym etapie nie będzie działać część funkcji wyszukiwania oraz część redakcyjna. Dostępność wraca etapami, aby system działał bezpiecznie, a o przywróceniu pozostałych funkcji ma zostać ogłoszony osobny komunikat.

Na czym polega zagrożenie

CERT Polska ostrzega przed lukami w PHP. Według komunikatu pozwalają one atakującemu na zdalne wykonanie dowolnych poleceń systemowych przez błędy w mechanizmie zarządzania pamięcią. Podatność miała zostać wykryta we wszystkich wersjach PHP od 5.4 wzwyż.

PHP jest szeroko stosowany. Według serwisu W3Techs, cytowanego przez PAP, obsługuje około 70 proc. stron, dla których można ustalić język działający po stronie serwera. Podstawą WordPressa, na którym działa około 43 proc. witryn, również jest PHP. Ostrzeżenie obejmuje więc także popularne systemy takie jak Joomla czy WooCommerce, a ich użytkownicy mogą być narażeni, jeśli nie zaktualizują oprogramowania.

Jedyną skuteczną metodą ochrony przed wykorzystaniem podatności jest instalacja poprawionej wersji PHP – podkreśla Ministerstwo Cyfryzacji.

Resort zaapelował do administratorów wszystkich serwisów korzystających z PHP o pilne zainstalowanie najnowszych, poprawionych wersji. Jeśli ktoś zauważy ślady wykorzystania luki, ma zgłosić to CERT Polska przez formularz dostępny na stronach tej instytucji.

Problem nie dotyczy tylko Polski

Jak podają media, w środę strony instytucji rządowych zostały wyłączone także w innych państwach. Według RMF24 zamknięto je m.in. w Finlandii, Holandii, Japonii i Australii. Tego, czy wyłączenia w tych krajach dotyczą tych samych luk, nie potwierdzają podane materiały.

Dla zwykłego użytkownika oznacza to przede wszystkim możliwą chwilową niedostępność części informacji publicznych. Jeśli prowadzisz własną stronę lub sklep oparty na WordPressie czy innym systemie korzystającym z PHP, warto sprawdzić wersję PHP i jak najszybciej ją zaktualizować, zgodnie z zaleceniami CERT Polska.