Kiemelt kép: illusztráció
Két kritikus biztonsági rés miatt több európai országban átmenetileg elérhetetlenné tettek kormányzati honlapokat és internetes közszolgáltatásokat. Magyarországon a Nemzeti Kiberbiztonsági Intézet riasztást adott ki, és azt kérte az üzemeltetőktől, hogy haladéktalanul telepítsék a javításokat, vagy ennek hiányában válasszák le az érintett rendszereket az internetről.
A fejleményről a Pénzcentrum számolt be.
Jelszó nélkül is támadhatóvá válhattak a szerverek
A sérülékenységeket a PHP programozási nyelvben azonosították. A PHP világszerte számos weboldal és online szolgáltatás működésében kap szerepet, ezért a hibák nem egyetlen ország vagy intézmény informatikai rendszerét érinthetik. A feltárt problémák kihasználásával a támadók távolról, akár jelszó megadása nélkül is programokat futtathattak volna a veszélyeztetett szervereken.
Kapcsolódó hír: 102 ezer forintos visszatérítéssel csalogatnak a NAV nevében küldött SMS-ekben
A kockázat nagyságát az adja, hogy a PHP-t széles körben használják internetes környezetben. A hibák ezért világszerte több millió szervert tehettek potenciálisan sebezhetővé. A Cloudflare internetbiztonsági vállalat már a hivatalos javítások megjelenése előtt olyan próbálkozásokat észlelt, amelyek arra utaltak, hogy támadók megkísérelték kihasználni a sérülékenységeket.
A rendelkezésre álló beszámolók alapján ugyanakkor nem érkezett megerősített jelentés arról, hogy az érintett európai kormányzati rendszereket valóban feltörték volna. A weboldalak és szolgáltatások leállítása elsősorban megelőző intézkedés volt, amellyel az üzemeltetők a javítások telepítéséig igyekeztek csökkenteni a támadási felületet.
Rotterdamtól a francia helyi közigazgatásig terjedtek a leállások
Hollandiában több, közérdekűnek számító online felületet is ideiglenesen lekapcsoltak. Az intézkedés érintette a rotterdami kikötő honlapját, a kormányzati ügyintézési portált, több kórház weboldalát, valamint az ország öt legnagyobb politikai pártjának internetes felületét. A holland nemzeti kiberbiztonsági központ saját honlapját sem hagyta elérhetően a kockázatos időszakban.
Finnországban több kormányzati internetes szolgáltatás működését függesztették fel. Dániában az iskolák és a szülők kapcsolattartására szolgáló országos rendszert állították le. Franciaországban a belügyminisztérium a helyi közigazgatási szervek egyes honlapjainak ideiglenes kikapcsolásáról döntött.
A különböző országokban hozott intézkedések közös eleme az volt, hogy nem egy bejelentett rendszertámadás után, hanem a lehetséges támadások megelőzésére korlátozták a hozzáférést. A leállítások ugyanakkor olyan szolgáltatásokat is érintettek, amelyeket a lakosság, az egészségügyi intézmények, az iskolák vagy a közlekedési ágazat használ.
Magyarországon azonnali frissítést sürgettek
A Nemzeti Kiberbiztonsági Intézet a két hibát kritikus besorolású biztonsági problémaként jelezte. A magyar üzemeltetőknek azt javasolta, hogy a PHP fejlesztői által közzétett javításokat a lehető leghamarabb telepítsék. Amennyiben ez nem megoldható azonnal, az érintett rendszereket ideiglenesen le kell választani az internetről, szükség esetén pedig le is kell állítani.
A biztonsági frissítés nem merül ki a weboldal tartalomkezelő rendszerének frissítésében. A szakértők külön felhívták a figyelmet arra, hogy egy WordPress-alapú honlap szokásos frissítése önmagában nem feltétlenül szünteti meg a kockázatot: a szerveren futó PHP-verziót is frissíteni kell.
Az MI is szerepet játszott a hibák feltárásában
Az Alphabet tulajdonában álló Wiz kiberbiztonsági vállalat részt vett a sérülékenységek feltárásában. A cég a mesterséges intelligencia szerepét is kiemelte, és a hibákat azok közé a legsúlyosabb biztonsági problémák közé sorolta, amelyeket eddig MI segítségével azonosítottak.
A Wiz értékelése szerint a sérülékenységek több mint tíz éven át észrevétlenek maradtak. Ennek egyik okaként azt jelölték meg, hogy a kihasználásukhoz rendkívül összetett műveletsort kellett kidolgozni. A PHP fejlesztői szerdán közzétették a szükséges biztonsági javításokat, amelyek telepítését a kiberbiztonsági szervezetek az érintett rendszerek üzemeltetőinek sürgetik.
Harmincmilliós óvadékot ajánlott Matolcsy György, mégis letartóztatták
Fényshowval idézték fel a Sztálin-szobor 1956-os ledöntését Budapesten
Hetven éve tört ki a forradalom: katonai tiszteletadással indult az október 23-i megemlékezés
Orbán Viktor Párizsban maradt az október 23-i Fidesz-rendezvény helyett
Súlyos PHP-hibák miatt 48 órára leállt a magyarorszag.hu
Vélemény, hozzászólás?