Wczoraj oficjalna strona PHP poinformowała o dwóch krytycznych dziurach w PHP. Nie będę tłumaczył, o co chodzi - by czegoś nie pokręcić, najlepiej oprzeć się na oficjalnych stronach:
źródła:
PHP: https://www.php.net/archive/2026.php#2026-10-21-5
Ubuntu: http://ubuntu.com/blog/php2shell-vulnerability-fixes-available
Wymagane jest zainstalowanie poprawek. Są oznaczone jako CRITICAL.
National Security Agency (NSA z USA) uruchomiło serwis na którym można sprawdzić, czy dana domena zawiera poprawkę:
https://simgen.dev/php-patch-check/
Teraz mniej oficjalnie. Bo dziury były na tyle poważne, że spowodowały wiele zamieszania:
W związku z wykryciem poważnych luk w zabezpieczeniach PHP, czyli technologii wykorzystywanej przez wiele serwisów internetowych na całym świecie, podjęliśmy decyzję o czasowym wyłączeniu stron Biuletynu Informacji Publicznej (BIP) działających w Scentralizowanym Systemie Dostępu do Informacji Publicznej (SSDIP). O zagrożeniu poinformował m.in. CERT Polska, który zalecił podjęcie działań zapobiegawczych. SSDIP to system umożliwiający instytucjom publicznym prowadzenie stron Biuletynu Informacji Publicznej (BIP). Czasowa niedostępność dotyczy wyłącznie stron działających w serwisie ssdip.bip.gov.pl, a nie wszystkich stron BIP w Polsce. Czasowe wyłączenie serwisu pozwoli nam wprowadzić niezbędne zabezpieczenia i zadbać o jego bezpieczne działanie. Pracujemy nad jak najszybszym przywróceniem dostępu. Przepraszamy za utrudnienia.
Podobnie zareagowało wiele krajów: Niemcy, Holandia, Belgia, Tajlandia, Francja, Finlandia... oraz wiele serwisów jak Wikipedia, 4chan, DeviantArt, Pokémon Home, Pokémon Champions, phpBB (nie wiedziałem że jeszcze żyje), Magento (e-commerce). Głównie reagowały jednak uczelnie i jakieś instytucje publiczne. Co najbardziej mnie zaskakuje, że tylko banki w Japonii, zareagowały. Obawiam się że taka stara technologia jak PHP, w każdej korporacji jest używana. A jak korporacje reagują to właśnie widać. Ile taka aktualizacja może zająć 15-30 minut, bo to jednak restart. Może po prostu o tym nie informowały, bo zrobiły to w nocy. Ale obawiam się, że kwestie bezpieczeństwa mogą nie być dla nich aż tak pilne, jak to deklarują.
Ciekawe jest to jak zareagowały firmy zajmujące się bezpieczeństwem, przykładowo Cloudflare: https://blog.cloudflare.com/php-vulnerabilities-waf-protection/. Oni wdrożyli zabezpieczenia, jeszcze przed ujawnieniem informacji o dziurze.
Zerknąłem jeszcze na https://downdetector.pl/ i np. widać że Wikipedia, coś robiła. Jakieś problemy w nocy miał Wykop, ale też widać że na Allegro, a Revolut miał problemy z Blikiem. Chociaż nie wiadomo z czym te problemy były związane.