Petr Loužecký
U kritických zranitelností PHP, na které upozornil Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), je zásadní neodkládat aktualizaci. Útočníkovi mohou umožnit spustit vlastní kód na serveru bez předchozího přihlášení. Nepotřebuje tedy nejdřív získat heslo některého ze zaměstnanců. Veřejně jsou navíc dostupné informace umožňující jejich zneužití, takže prostor pro vyčkávání je minimální.
Samotná aktualizace je teď tou snazší částí. Větším tématem je pro firmy dohledání všech webů a aplikací, které PHP využívají. Vedle hlavního firemního webu mohou mít starý zákaznický portál, testovací prostředí nebo stránky k dávno ukončené kampani. Nikdo už je aktivně nepoužívá, ale na internetu zůstávají dostupné. Právě takové zapomenuté služby představují riziko. Útočníka nezajímá, jestli web ještě přivádí zákazníky. Zajímá ho, jestli přes něj může proniknout na server.
Firmy proto potřebují co nejrychleji zjistit, kde všude PHP provozují, kdo za jednotlivé služby odpovídá a zda už byla oprava skutečně nasazena. Pokud správu zajišťuje externí dodavatel nebo hostingová společnost, měly by si provedení aktualizace potvrdit. Aktualizace redakčního systému nebo jeho doplňků sama o sobě neznamená, že je opravené také PHP, na kterém aplikace běží.
Vedle aktualizace je potřeba prověřit, zda už nedošlo k napadení. Správci by měli zkontrolovat dostupné provozní a bezpečnostní záznamy, neobvyklé procesy spouštěné službami PHP i podezřelé změny souborů. To, že web normálně funguje a zákazníci si na nic nestěžují, ještě není důkaz, že je všechno v pořádku. Nová verze díru zavře, ale neuklidí to, co se mezitím dostalo dovnitř. Pokud kontrola odhalí známky napadení, je potřeba situaci řešit jako bezpečnostní incident.
Co to znamená pro běžné uživatele?
Pro běžné uživatele to neznamená, že by měli přestat navštěvovat weby nebo automaticky měnit všechna hesla. Pokud ale útočník zranitelnost zneužije, může podle rozsahu napadení ohrozit zákaznická data nebo narušit fungování online služeb. Platí tedy to co vždycky. Lidé by si měli dávat pozor na podezřelé e-maily a SMS, které mohou zprávy o bezpečnostních hrozbách zneužívat a vyzývat například ke změně hesla nebo ověření účtu. I zpráva, která se tváří jako oficiální upozornění od banky či jiné důvěryhodné společnosti, může být podvodná. Na odkazy v takových zprávách by proto neměli bez rozmyslu klikat a případné informace o bezpečnostním incidentu by si měli ověřit samostatně přes oficiální web nebo aplikaci dané služby. Pokud se potvrdí únik hesla, je namístě ho změnit všude, kde ho používají, a do budoucna volit pro každou službu jiné heslo a zapnout vícefaktorové ověřování, pokud je k dispozici.
Aktuální případ zároveň připomíná, proč má smysl udržovat přehled o firemních aplikacích a vyřazovat ty, které už nikomu neslouží. U každé služby by mělo být jasné, kdo ji spravuje a kdo zajišťuje její aktualizace. V krizové chvíli pak firma může rovnou jednat, místo aby teprve zjišťovala, co vlastně provozuje.
NÚKIB podle mě tentokrát upozornění podal přesně tak, jak má: rychle, srozumitelně a s uvedením konkrétních verzí, na které je potřeba aktualizovat. Firmy dostaly jasnou informaci o riziku i potřebném kroku. Teď je důležité, aby upozornění nezůstalo jen přeposlaným e-mailem.