Két kritikus PHP-sebezhetőség miatt sürgős frissítés érkezik
A PHP fejlesztői két kritikus biztonsági hibát javító frissítést adnak ki, amelyek súlyosságát 9,2-re értékelték a tízes skálán. A javítás tervezett megjelenési időpontja október 21-én 10 óra, amerikai keleti idő szerint, de a fejlesztők előrehozhatják a kiadást, ha a hibák részletei nyilvánosságra kerülnek, vagy bizonyítékot találnak aktív kihasználásukra. A PHP-t weboldalak és webalkalmazások széles köre használja, ezért a sérülékenységek hatása különösen nagy lehet.
A watchTowr szerint távolról végrehajtható kódfuttatási hibákról van szó, amelyek a PHP 5-től kezdve minden verziót érinthetnek. A támadók így saját kódot futtathatnak az érintett szervereken, módosíthatják a weboldalakat, illetve adatokat lophatnak. Egy biztonsági kutató becslése alapján több mint 1,3 millió internethez kapcsolódó hoszt lehet veszélyben. A Wordfence arra figyelmeztetett, hogy a PHP-t futtató szerverek miatt minden WordPress-oldal érintett lehet; a WordPress tavaly azt közölte, hogy a web több mint 40 százalékát működteti.
A javítás nem telepíthető automatikus WordPress-frissítéssel, ezért az üzemeltetőknek meg kell találniuk a PHP-frissítésért felelős szolgáltatót vagy rendszergazdát. Az EU-s és a brit kiberbiztonsági szervek azt tanácsolták, hogy aki nem tud azonnal javítani, szigetelje el a nyilvános hálózattól az internet felé elérhető alkalmazásokat, vagy ideiglenesen állítsa le őket. A Sansec tömeges támadásokat várt a kiadást követő 15 percen belül, a Cloudflare pedig már korai támadási kísérletekről számolt be.