Η CISA καλεί τις ομοσπονδιακές υπηρεσίες των ΗΠΑ να εγκαταστήσουν άμεσα διορθώσεις PHP μετά από καταγεγραμμένες εκμεταλλεύσεις

Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) κάλεσε τις ομοσπονδιακές υπηρεσίες να εγκαταστήσουν άμεσα διορθώσεις ασφαλείας για το PHP, έπειτα από παρατηρημένες εκμεταλλεύσεις σε πραγματικές συνθήκες, μετέδωσε το ITPro.

Η CISA ενέταξε στις 26 Οκτωβρίου δύο ευπάθειες, με αναγνωριστικά CVE-2026-109618 και CVE-2026-109619, στη βάση Known Exploited Vulnerabilities (KEV). Όρισε προθεσμία έως τις 29 Οκτωβρίου για τις υπηρεσίες του Federal Civilian Executive Branch (FCEB) να εφαρμόσουν τα patches και «ενθαρρύνει όλους τους οργανισμούς» να πράξουν το ίδιο όπου είναι δυνατόν.

«Η CISA παροτρύνει έντονα τους οργανισμούς να επιδιορθώσουν άμεσα τις πρόσφατα γνωστοποιημένες κρίσιμες ευπάθειες στο PHP, CVE-2026-109618 και CVE-2026-109619», ανέφερε στην οδηγία της. «Οι ευπάθειες, γνωστές ως “php2shell”, επιτρέπουν μη αυθεντικοποιημένη απομακρυσμένη εκτέλεση κώδικα στο PHP. Επηρεάζουν όλες τις εγκαταστάσεις PHP που εξυπηρετούν web αιτήματα, συμπεριλαμβανομένων των Apache με mod_php (Σημ.: το PHP θεωρεί αυτό το σενάριο υψηλότερου κινδύνου), PHP-FPM, php-cgi, FrankenPHP και LiteSpeed.»

Με την προθεσμία να πλησιάζει, οι ομοσπονδιακές υπηρεσίες θα χρειαστεί να αναβαθμίσουν στις εκδόσεις PHP 8.5.12, 8.4.27, 8.3.36 ή 8.2.35.

Το συμβάν προκάλεσε έντονη κινητοποίηση στη βιομηχανία ασφάλειας και στο διαδίκτυο. Το PHP χρησιμοποιείται ευρέως στην ανάπτυξη ιστοσελίδων και υποστηρίζει έως και το 70% των sites παγκοσμίως. Στις 20 Οκτωβρίου, το The PHP Foundation προειδοποίησε για επερχόμενο patch μετά τον εντοπισμό των κρίσιμων ευπαθειών από ερευνητές ασφαλείας. Το patch δημοσιεύθηκε την Τετάρτη, όμως εν τω μεταξύ αναφέρθηκαν ενεργές απόπειρες εκμετάλλευσης και προκλήθηκε αναστάτωση.

Σύμφωνα με το ITPro, ο CEO της Cloudflare, Matthew Prince, ανέφερε ότι η εταιρεία είδε «χιλιάδες απόπειρες εκμετάλλευσης» μέσα στις ώρες πριν από τη δημόσια ανακοίνωση. «Σε όλο το δίκτυο της Cloudflare είδαμε χιλιάδες απόπειρες εκμετάλλευσης», έγραψε σε ανάρτηση στο X. «Αυτό ανέβηκε σε δεκάδες χιλιάδες στα 45 λεπτά μετά την ανακοίνωση, σε εκατοντάδες χιλιάδες μέσα σε 2 ώρες, και πλέον σε εκατομμύρια.»

Στην οδηγία της, η CISA παρέθεσε ενέργειες για τον περιορισμό της έκθεσης:
Εντοπισμός και απογραφή όλων των συστημάτων που τρέχουν οποιαδήποτε έκδοση PHP. Το PHP συχνά αποτελεί συστατικό άλλου λογισμικού και μπορεί να μην είναι άμεσα ορατό.
Άμεση εφαρμογή των διορθώσεων, με προτεραιότητα στα συστήματα που εκτίθενται στο διαδίκτυο.
Όσοι δεν μπορούν να ενημερώσουν άμεσα ή παραμένουν σε PHP 8.1 ή παλαιότερες μη υποστηριζόμενες εκδόσεις, να θέσουν εκτός λειτουργίας τα PHP‑based συστήματα μέχρι την ενημέρωση.
Χρήση web application firewall ως προσωρινό μέτρο προστασίας.
Ανασκόπηση της επίσημης οδηγίας ασφάλειας του PHP για καθοδήγηση στην εφαρμογή των patches.
Παρακολούθηση ύποπτης δραστηριότητας, όπως PHP worker processes που εκκινούν shells ή κατεβάζουν εργαλεία.

Ο Ramy Rahman, senior principal solutions engineer στην ArmorCode, ανέφερε ότι, παρά τη στενή προθεσμία, είναι εφικτό να τηρηθεί «με τους κατάλληλους πόρους». «Η μεγαλύτερη πρόκληση θα είναι οι εκδόσεις PHP που τρέχουν και οι εξαρτήσεις που συνδέονται με αυτές», είπε. «Οι διαχειριστές θα πρέπει να δώσουν προτεραιότητα στην αναβάθμιση στις patched εκδόσεις PHP, συμπεριλαμβανομένων των 8.5.12, 8.4.27, 8.3.36 ή 8.2.35, ανάλογα με το release branch. Η πραγματικότητα είναι ότι πολλοί οργανισμοί πιθανότατα τρέχουν παλαιότερες, μη υποστηριζόμενες εκδόσεις, κάτι που εισάγει πρόσθετη πολυπλοκότητα στην αναβάθμιση εφαρμογών, την αντιμετώπιση ζητημάτων συμβατότητας ή τη συνεργασία με προμηθευτές για υποστηριζόμενες διορθώσεις.»

Για συστήματα που δεν μπορούν να ενημερωθούν άμεσα, ο Rahman σημείωσε ότι «πρέπει να εφαρμοστούν αντισταθμιστικοί έλεγχοι για τη μείωση της έκθεσης». Σε αυτά περιλαμβάνονται η απενεργοποίηση ευάλωτων λειτουργιών, ο περιορισμός πρόσβασης και η απόσυρση συστημάτων αν δεν μπορούν να προστατευθούν επαρκώς — σύσταση που εξέδωσαν την περασμένη εβδομάδα και αρχές ασφάλειας όπως η CERT-EU και το UK’s National Cyber Security Centre (NCSC).

Πηγή: itpro.com.