Ozbiljna sigurnosna rupa u PHP-u: Vlasnici web stranica trebaju odmah ažurirati sustav

Objavljene su hitne sigurnosne nadogradnje za PHP, tehnologiju na kojoj rade milijuni web stranica i aplikacija diljem svijeta. Otkrivene su dvije ozbiljne ranjivosti koje bi, u najgorem slučaju, napadaču mogle omogućiti da preuzme kontrolu nad web poslužiteljem i izvršava vlastiti kod bez prethodne prijave.

Problem je posebno važan jer PHP koristi ogroman broj stranica, uključujući brojne WordPress i Laravel sustave, internetske trgovine, portale i poslovne aplikacije.

PHP tim zato je objavio nove verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35 te pozvao administratore da ih instaliraju što prije.

Jednostavno rečeno, ranjivost se nalazi duboko u načinu na koji PHP obrađuje zahtjeve i memoriju. U određenim okolnostima napadač može poslati posebno oblikovan zahtjev web stranici i pokušati iskoristiti grešku prije nego što aplikacija uopće počne normalno raditi.

Najveći rizik postoji kod nekih uobičajenih konfiguracija web poslužitelja, uključujući Apache s mod_php, ali pogođeni mogu biti i PHP-FPM, LiteSpeed, php-cgi i drugi načini na koje se PHP koristi.

Važno je naglasiti da privremene zaštitne mjere postoje, ali one samo smanjuju rizik. Jedino potpuno rješenje je nadogradnja PHP-a na zakrpanu verziju.

Korisnici Laravel Clouda i Laravela Vapor trebali bi dobiti zakrpe automatski, dok korisnici Laravel Forgea moraju ručno ažurirati PHP na svojim poslužiteljima.

Za običnog korisnika interneta nema potrebe za panikom niti se išta treba instalirati na računalo ili mobitel. Ovo je prvenstveno problem za vlasnike i administratore web stranica, hostinga i poslužitelja.