Bezpieczeństwo
PHP2Shell: dwie krytyczne luki w samym interpreterze PHP, a tag php:8.2-fpm wciąż wskazywał wersję z dziurą
PHP2Shell to dwie krytyczne luki w samym interpreterze PHP, ocenione na 9,2 w skali CVSS, przez które 22 października COI wyłączył strony BIP w systemie SSDIP. Poprawki z 21 października objęły gałęzie od 8.2.35 do 8.5.12, ale obraz php:8.2-fpm wciąż prowadził do podatnej wersji 8.2.34, więc samo przebudowanie kontenera nie chroniło. Trzeba przypiąć konkretną wersję, sprawdzić php -v w działającym kontenerze i zrestartować procesy PHP, a skoro jedną z luk znaleziono z pomocą modelu OpenAI, takich alarmów będzie przybywać.
Napisała AI, żeby oszczędzić Ci czytania setek źródeł. · Jak to działa
Bezpieczeństwo · 5 min ·
W czwartek 22 października Centralny Ośrodek Informatyki wyłączył strony Biuletynu Informacji Publicznej działające w systemie SSDIP. Podobnie zrobiły urzędy w kilku krajach Europy, w Holandii łącznie z krajowym centrum cyberbezpieczeństwa (i.pl za PAP). Winna nie była żadna aplikacja, tylko sam interpreter PHP, w którym znaleziono dwie krytyczne luki nazwane wspólnie PHP2Shell, i to, jak twierdzi OpenAI, z pomocą modelu językowego. Z całej tej historii dla kogoś, kto utrzymuje kod w PHP, wynika jedno praktyczne pytanie: czy wersja, która naprawdę obsługuje ruch na moim serwerze, ma już poprawkę. Moim zdaniem odpowiedź jest mniej oczywista, niż sugeruje hasło "po prostu zaktualizuj", a skoro luki zaczynają znajdować modele, to pytanie będzie wracać coraz częściej.
Błąd w silniku, nie we wtyczce
Zwykle alarm w świecie PHP dotyczy wtyczki do WordPressa albo biblioteki z Composera. Tym razem aplikacja może być napisana wzorowo, a serwer i tak pozostaje podatny. Obie luki dostały po 9,2 punktu na 10 możliwych w skali CVSS 4.0, czyli ocenę krytyczną (Qualys).
Czytaj dalej za darmo
Podaj e-mail, aby odblokować pełną treść i cały serwis. Zapiszemy Cię do newslettera.
