PHP zapowiada pilne poprawki dwóch krytycznych luk. Publikacja dziś o 16:00
Zespół PHP ostrzegł przed dwiema krytycznymi lukami. Poprawki mają ukazać się 21 października o 16:00 czasu polskiego. Administratorzy powinni przygotować aktualizacje.
Podatności
Oracle wydało 1295 poprawek bezpieczeństwa. Pakiet obejmuje 1209 CVE
Październikowy pakiet Oracle zawiera 1295 poprawek obejmujących 1209 unikalnych CVE. Administratorzy powinni sprawdzić bazy danych, aplikacje i oprogramowanie pośredniczące.
Oracle opublikowało 20 października pakiet Critical Patch Update zawierający 1295 nowych poprawek bezpieczeństwa. Według niezależnego zestawienia Tenable aktualizacja obejmuje 1209 unikalnych identyfikatorów CVE. Wydanie dotyczy wielu rodzin produktów, dlatego przegląd środowiska nie powinien ograniczać się do baz danych.
Co zostało wydane
Oficjalny biuletyn Oracle zawiera wykaz produktów, wersji oraz odsyłacze do instrukcji instalacji. Poprawki dotyczą zarówno kodu producenta, jak i składników innych dostawców dołączanych do jego oprogramowania. Wśród objętych rodzin są m.in. Fusion Middleware, E-Business Suite, PeopleSoft, Java SE i MySQL.
Liczba poprawek jest większa od liczby unikalnych CVE, ponieważ jedna podatność może wymagać usunięcia w różnych produktach. Tych wartości nie należy używać zamiennie. Nowym zdarzeniem z 20 października jest wydanie właściwego pakietu; wcześniejsza zapowiedź nie zastępowała ostatecznego biuletynu.
Jak ustalić kolejność aktualizacji
Oracle zaleca korzystanie ze wspieranych wersji i wdrażanie poprawek bez zwłoki. Sam komunikat o wydaniu pakietu nie potwierdza aktywnego wykorzystywania wszystkich opisanych w nim luk.
Z perspektywy administratora najważniejsze jest porównanie tabel producenta z faktyczną konfiguracją. Przy ustalaniu kolejności warto uwzględnić dostępność usługi z internetu, wymaganie uwierzytelnienia, możliwy skutek ataku oraz znaczenie aplikacji dla działalności. To zalecana metoda oceny ryzyka, a nie jeden termin aktualizacji właściwy dla każdej instalacji.
Co zrobić teraz
- Zebrać wykaz produktów Oracle, ich wersji i odpowiedzialnych administratorów, także w usługach utrzymywanych przez partnerów.
- Porównać inwentaryzację z ostatecznym biuletynem październikowym.
- Wyznaczyć priorytety dla podatnych usług dostępnych z niezaufanych sieci oraz luk niewymagających logowania.
- Przygotować kopie zapasowe, testy działania aplikacji i plan wycofania nieudanej zmiany.
- Po wdrożeniu sprawdzić stan aktualizacji wszystkich instancji, a nie tylko zakończenie pracy instalatora.
- Udokumentować systemy oczekujące na poprawki, właściciela decyzji i termin ponownej oceny.
Komentarz SecurHUB
Duży pakiet aktualizacji wymaga wiarygodnej inwentaryzacji i jasnego podziału odpowiedzialności. Audyt bezpieczeństwa może pomóc ocenić, czy proces zarządzania podatnościami obejmuje wszystkie istotne składniki środowiska.
