W środę po południu zespół rozwijający PHP poinformował o udostępnieniu aktualizacji usuwających dwie krytyczne luki w zabezpieczeniach. Administratorom zalecono jak najszybsze zainstalowanie poprawek.
Jak wyjaśnił Reuters, PHP jest językiem programowania powszechnie wykorzystywanym do obsługi stron internetowych. Gdy użytkownik otwiera witrynę, serwer z uruchomionym PHP generuje jej zawartość, a następnie przesyła ją do przeglądarki. PHP jest bezpłatnym oprogramowaniem typu open source, rozwijanym przez społeczność programistów.
To jedna z najczęściej stosowanych technologii internetowych. Według serwisu W3Techs PHP jest wykorzystywany przez około 70 proc. stron, w przypadku których można zidentyfikować język programowania działający po stronie serwera.
Stanowi również podstawę WordPressa - systemu zarządzania treścią, na którym działa około 43 proc. wszystkich witryn internetowych. Są wśród nich blogi, strony małych firm, sklepy internetowe, portale informacyjne oraz serwisy administracji publicznej.
Pilny apel do administratorów
Twórcy PHP poinformowali we wtorek o zidentyfikowaniu dwóch krytycznych podatności i zapowiedzieli wydanie odpowiednich poprawek. Jednocześnie zaapelowali, aby administratorzy zainstalowali aktualizacje natychmiast po ich udostępnieniu.
Sytuacja jest poważna, ponieważ - według dostępnych informacji - cyberprzestępcy już wykorzystują luki do przeprowadzania ataków i przejmowania kontroli nad witrynami. Agencje ds. cyberbezpieczeństwa w Europie, Stanach Zjednoczonych, Australii i Japonii wezwały administratorów do niezwłocznej aktualizacji PHP. Jeżeli instalacja poprawek nie jest od razu możliwa, zalecają czasowe wyłączenie zagrożonych serwisów.
Na taki krok zdecydowały się między innymi agencje rządowe i instytucje publiczne w Niemczech, Holandii, Belgii, Finlandii oraz Francji. W Holandii własną stronę internetową wyłączyło także Krajowe Centrum Cyberbezpieczeństwa (NCSC).
Potencjalnie zagrożone mogą być systemy korzystające z różnych wydań PHP, począwszy od wersji PHP 5. Nie ustalono jednak jeszcze ostatecznie, które wersje są podatne na ataki.