Kijavították a magyarorszag.hu leállítását is kiváltó kritikus PHP-hibákat
A magyarorszag.hu és több más kormányzati oldal csütörtök reggeli leállását két, kritikusnak minősített PHP-sérülékenység okozta. A PHP a világ legelterjedtebb szerveroldali programnyelve: a W3Techs adatai szerint azokon a honlapokon, ahol ez az adat ismert, közel 70 százalék használja. Többek között a WordPress és a Wikipedia alatt működő MediaWiki is erre épül, ezért a hiba világszerte rengeteg szolgáltatást érintett. A BBC-t, a Wikipediát, állami oldalakat és japán videójátékokat is átmenetileg elérhetetlenné tettek elővigyázatosságból.
A probléma súlyosságát az adta, hogy a hibák kihasználásával hitelesítés nélkül lehetett távoli kódot futtatni egy PHP-s webszerveren. A támadónak nem kellett belépnie egy fiókba vagy előbb jogosultságokat szereznie, a folyamat elméletben automatizálható lett volna, és akár az egész internetet végig lehetett volna vizsgálni. A kutatók azt is igazolták, hogy kód futtatása nélkül érzékeny adatok, például jelszavak és API-kulcsok olvashatók ki a memóriából.
A sérülékenységek egy korábban ismert, memóriakezeléssel kapcsolatos hibához kötődtek, amelyet egy 2024-es audit is megerősített, de csak idén augusztusban bizonyosodott be, hogy ténylegesen kihasználható. A Calif, a Wiz és az OpenAI mesterségesintelligencia-modellek segítségével, egymástól részben függetlenül fedezte fel a támadási lehetőségeket. A cégek a PHP-val együtt dolgoztak a javításon, és létrehozták a php2shell nevű demonstrációs szkriptet. Tanács Zoltán szerint a magyarorszag.hu-nál csütörtök délutánra elhárították a veszélyt, így az oldal újraindulhatott.