Два критични безбедносни пропуста во PHP, технологија што се користи за работа на веб-страници и онлајн услуги, предизвикаа итна реакција кај институции и компании. Дел од владините, училишните и болничките сајтови во Европа на 21 октомври беа привремено исклучени додека администраторите преземаа мерки за заштита. Исклучувањето не значи автоматски дека системите биле пробиени – во дел од случаите станува збор за превентивна одлука.
Опасноста е во можноста напаѓач, под одредени услови, да извршува код на серверот без претходно да се најави. Британскиот Национален центар за сајбер-безбедност, NCSC, објаснува дека слабостите се поврзани со начинот на кој PHP ја обработува меморијата при веб-барања. За сопствениците на сајтови тоа значи дека проверката мора да ја опфати серверската инфраструктура, дури и кога самата веб-страница изгледа и функционира нормално.
Поправките се достапни, потребна е проверка на серверот
Според CERT-EU, поправките се објавени на 21 октомври во верзиите PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Пропустите се означени како CVE-2026-109618 и CVE-2026-109619, со оценка на сериозност од 9,2. Организацијата препорачува итно ажурирање на засегнатите инсталации, а таму каде што тоа не е изводливо – разгледување привремена изолација на јавно достапните апликации додека поправката не биде применета и проверена.
За компанија што користи надворешен хостинг, првиот практичен чекор е да побара потврда од давателот на услугата дали нејзината PHP-инсталација е заштитена. Кај сервери што ги одржува сопствен ИТ-тим, проверката треба да ги опфати и помалку видливите апликации, старите портали и дополнителните сервиси. NCSC посебно предупредува да не се проверуваат само застарените верзии, туку сите системи што користат PHP, вклучително и производи што го содржат како вградена компонента.
Самото име на верзијата понекогаш не ја кажува целата приказна. Одредени добавувачи можат да ја вградат безбедносната поправка во постојниот пакет, па потребна е проверка на нивното известување за конкретното издание. CERT-EU наведува дека дел од дистрибуциите и добавувачите со долгорочна поддршка обезбедуваат вакви поправки и за постари гранки.
Што значи ова за Македонските компании?
За домашните фирми, институции и медиуми што користат PHP, практичното прашање е дали нивната инфраструктура ја добила соодветната поправка. Мала интернет-продавница и голем портал можат да зависат од истата основна технологија, иако имаат различни буџети и тимови за одржување.
Привремената недостапност може да прекине нарачка, пријава или пристап до информација. Затоа одлуката за ажурирање или исклучување треба да биде придружена со јасно известување за корисниците и проверка пред повторното пуштање на услугата. Сајт што повторно се отвора успешно е само почеток: одговорните лица треба да потврдат и дека поправката е применета и дека клучните функции работат.
За посетителите, недостапна страница сама по себе не е доказ за украдени податоци. За сопствениците, пак, нормалното отворање на страницата не е потврда дека серверот е безбеден. Во овој случај, најважниот одговор треба да дојде од тимот или компанијата што ја одржува инфраструктурата.
Автор: Бранко Стојкоски
