PHP kriitilised turvaaugud sulgesid riikide veebilehti

Mitmed riigid, sealhulgas Soome, Läti ja Holland, sulgesid kolmapäeval ettevaatusabinõuna valitsusasutuste veebilehti pärast seda, kui PHP tarkvaras avastati kaks kriitilist turvaauku. Eestis riigi infosüsteemi amet (RIA) olulisi veebiteenuseid praegu sulgeda ei kavatse, sest kaitsemeetmed rakendati enne paranduste avaldamist.

RIA küberturvalisuse keskuse arhitekti Veikko Raasuke sõnul loodi riigi- ja avaliku sektori oluliste veebide kaitse umbes üheksa tundi enne tarkvarauuenduste avalikku kättesaadavust.

„Õnneks oleme Eestis küberi osas üsna heal järjel ja oleme palju tööd teinud selleks, et asju ka ette näha ning kaitsta oma veebe täiendavate meetmetega. See tähendab, et riigisektori ja avaliku sektori oluliste veebide puhul meil hetkel on kaitse olemas,“ ütles Raasuke.

„Nii et riikliku sektori ja elutähtsa teenuse osutajate vaates me praegu mingisugust kõrgendatud kriisi ei näe,“ lisas ta.

PHP on veebilehtede ja -teenuste ehitamisel ning serverites käitamisel kasutatav tarkvara. Raasuke sõnul võivad kaks avastatud kriitilist haavatavust võimaldada ründajal pääseda serverisse ilma kasutajanime või autentimisvahendeid teadmata.

RIA-l ei ole praegu infot selle kohta, et neid haavatavusi oleks Eesti veebikeskkondades ära kasutatud. Samas jälgitakse olukorda pidevalt.

PHP-d kasutavad muu hulgas Drupal, Joomla, WordPress ja teised laialt levinud veebimootorid. RIA hinnangul võib Eestis olla haavatavusele vastuvõtlik kümneid tuhandeid servereid.

PHP turvameeskond teatas, et parandustega versioon avaldatakse kolmapäeval kell 17 Eesti aja järgi. Veebilehtede omanikud peavad uuendama PHP oma serverites, et ründajad ei saaks vigu ära kasutada.

Hoiatused võimalike rünnakute eest

PHP-d kasutatakse suurel osal internetist ning viimase ööpäeva jooksul on levinud hoiatused, et haavatavat tarkvara kasutavad veebilehed võivad sattuda tõsiste rünnakute sihtmärgiks.

Küberturbeettevõte Huntress märkis, et PHP käitab muu hulgas WordPressi, Drupali, Joomla ja Magento veebilehti, jagatud veebimajutusplatvorme, juhtpaneele ning tarkvara, mis ei avalikusta oma PHP-põhist tehnoloogiat.

Mõlema haavatavuse raskusaste on CVSS v4.0 skaalal 9,2. See viitab autentimata koodi kaugkäivitamise ohule, mille korral võib ründaja käivitada haavatavas süsteemis pahatahtlikke käske ilma sisse logimata.

Veebi- ja pilveturbeettevõtte Cloudflare tehnoloogiajuht Dane Knecht ütles, et esimesi ründeid on juba märgata ning ettevõte uuendab ajutise meetmena oma tulemüüri reegleid.

„Juba on märgata esimesi ründeid ning kaitsemeetmeid uuendatakse vastavalt uute ründevektorite ilmnemisele. See on üksnes AJUTINE LAHENDUS. Paigaldage parandus kohe, kui PHP uuenduse avaldab,“ kirjutas Knecht sotsiaalmeedias.

Euroopa Liidu küberintsidentide lahendamise üksus CERT-EU soovitas organisatsioonidel mõjutatud süsteemid viivitamatult paikata. Kui seda kohe teha ei saa, tuleks kaaluda veebilehtede ajutist võrgust eemaldamist.

Sarnase soovituse andis Austraalia küberjulgeolekuskeskus, mis kutsus organisatsioone tuvastama oma keskkondades PHP-süsteeme, valmistuma paranduste paigaldamiseks ning jälgima rakendusi pahatahtliku tegevuse märkide suhtes. Keskuse teatel ei ole praegu teada, et haavatavusi aktiivselt ära kasutataks.

Veebimajutusteenuse pakkuja GoDaddy hinnangul võivad vead võimaldada interneti kaudu koodi käivitamist mõjutatud serverites. See võib viia andmete varguse, veebilehe rikkumise või kogu süsteemi kompromiteerimiseni.

WordPressi turvapistikprogrammi Wordfence arendajad rõhutasid, et kõik WordPressi veebilehed töötavad PHP-ga varustatud serverites. Nende sõnul ei paigalda automaatsed uuendused seda turvaparandust ning veebilehtede omanikud peaksid välja selgitama, kes vastutab PHP uuendamise eest.

RIA soovitab uuendusteks valmistuda

RIA soovitab kõigil PHP-d kasutavate süsteemide haldajatel valmistuda turvaparanduste viivitamatuks paigaldamiseks. Teenusepakkujad ja süsteemiadministraatorid peaksid esimesel võimalusel tuvastama kõik PHP-d kasutavad süsteemid ning rakendama ajutisi leevendusmeetmeid seal, kus kohe uuendada ei saa.

RIA teatel on avalikkuses juba ilmunud kirjeldusi haavatavuste võimalikest ärakasutamisviisidest. PHP on kasutusel veebirakendustes, internetiga ühendatud ja asutusesisestes infosüsteemides ning konteinerkeskkondades, mistõttu võivad vead kujutada olulist riski paljudele süsteemidele.

Soome riiklik IT-keskus Valtori sulges kolmapäeval ettevaatusabinõuna riigi avalikud veebiteenused. Valtori teatel ei ole haavatavuste ärakasutamise katseid tuvastatud ning katkestus ei ole seotud andmelekkega.

Ka Hollandi küberjulgeolekuamet sulges ettevaatusabinõuna oma veebilehe. Läti sulges samuti riigiasutuste veebilehti ning turvariskide tõttu ei olnud kättesaadav Läti rahvusringhäälingu LSM veebiportaal.

Haavatavused leiti tehisintellekti abil

Alphabetile kuuluva küberturbeettevõtte Wizi sõnul avastati PHP turvaaugud tehisintellekti abil. Ettevõtte blogipostituse kohaselt olid vead PHP koodibaasis peidus üle kümne aasta ning inimesel oleks neid olnud erakordselt keeruline leida ja ära kasutada.

Wiz kasutas uurimises oma autonoomset tehisintellektil põhinevat tööriista Wiz Atlas ning Google'i mudelit Gemini 4 Argon ja OpenAI mudelit GPT-5.6 Sol. Haavatavuste leidmisel ja paranduste kontrollimisel tehti koostööd PHP meeskonna, OpenAI ja küberturbeettevõttega Calif.

Klientide kaitsmiseks ja leevendusmeetmete ettevalmistamiseks tegi Wiz koostööd ka Google Cloudi, Cloudflare'i, Amazoni AWS-i, Microsofti, WordPress.com-i operaatori Automattici ning mitme teise ettevõttega.

Valge Maja teatel saadi haavatavustest teada reedel. Avalduses nimetati juhtumit näiteks sellest, miks Ameerika Ühendriikide juhtpositsioon tehisintellekti valdkonnas on riikliku julgeoleku seisukohalt oluline.

PHP turvameeskond lubas haavatavuste, mõjutatud versioonide ja parandatud väljalasete üksikasjad avaldada koos turvaparandustega.