PHP v ohrožení: Proč musíte server ihned aktualizovat

Ve světě webového vývoje jsou některé zprávy "příjemným bonusem" a některé "všeho odložte a ihned to opravte". Dnes jsme jednoznačně v té druhé kategorii.

Bylo právě zveřejněno rozsáhlé bezpečnostní upozornění týkající se dvou kritických zranitelností v PHP, základu velké části internetu. S hodnocením závažnosti 9,2 z 10 nejde o drobné chyby — mohou zničit vaše weby.

Hrozba: Remote Code Execution (RCE)

Základ problému spočívá v Remote Code Execution. Laicky řečeno, útočník jen nenavštíví váš web; získá schopnost spouštět vlastní kód přímo na vašem serveru. To znamená, že může měnit váš obsah, převzít relace uživatelů nebo — v horším případě — extrahovat citlivá data z vaší databáze.

Rozsah je alarmující. Protože se tyto zranitelnosti týkají téměř všech verzí PHP od verze 5, jejich "dosah" je obrovský. Jelikož samotný WordPress tvoří více než 40 % všech webů a téměř každý WordPress web používá PHP, obrovská část internetu nyní stojí v ohništi útočníků.

Proč vás "automatické aktualizace" nemusí zachránit

Pokud jste běžný uživatel, možná jste zvyklí klikat na "Aktualizovat" v ovládacím panelu WordPressu a tím to považovat za hotové. Dnes na to nespoléhejte.

Bezpečnostní odborníci včetně týmu Wordfence varovali, že tyto konkrétní bezpečnostní záplaty nelze nasadit prostřednictvím standardních automatických aktualizací CMS. Jde o opravu na úrovni serveru. Musíte vy nebo váš DevOps inženýr ručně aktualizovat verzi PHP na vašem hostingu, aby byla bezpečnostní záplata správně aplikována.

"Nukleární možnost": Odstavení webů z provozu

Zranitelnost je natolik závažná, že organizace jako UK National Cyber Security Centre a CERT Evropské unie vydaly přísné doporučení. Pokud nemůžete server opravit ihned, nejbezpečnější řešení může být izolovat aplikaci od veřejného internetu nebo ji zcela odstavit z provozu.

Znění to sice zní extrémně, ale protože se již vyvíjejí proof-of-concept exploity, doba, kdy bylo možné "počkat do víkendu", už uplynula. Cloudflare již nahlásil první útoky na weby založené na PHP.

Tipy pro vývojáře a administrátory:

1. Zkontrolujte svou verzi PHP: Přesně vězte, jakou verzi používáte.
2. Nečekejte na plugin: Pokud spravujete vlastní VPS nebo cloudovou instanci, ihned spusťte aktualizace balíčků (např. sudo apt upgrade php).
3. Použijte firewall: Pokud to nemůžete opravit do druhé, ujistěte se, že je váš WAF (Web Application Firewall) aktuální a umí zachytávat rané vzorce zneužití.
4. Sledujte své logy: Pozorně sledujte přístupové logy serveru a hledejte neobvyklé požadavky POST nebo neočekávané spouštění příkazů.

V NameOcean víme, že dostupnost je všechno, ale skutečně důležitá je bezpečná dostupnost. Nenechte kvůli jediné zranitelnosti přijít o svou práci — dnes aktualizujte prostředí PHP!