PHP zapowiada pilne poprawki dwóch krytycznych luk. Publikacja dziś o 16:00

Zespół bezpieczeństwa PHP zapowiedział poprawki dwóch krytycznych luk, ocenionych na 9,2 w skali CVSS v4.0. Publikację zaplanowano na 21 października o 14:00 UTC, czyli 16:00 czasu polskiego. Ostrzeżenie opublikowano 20 października; administratorzy mają przygotować się do aktualizacji przed udostępnieniem szczegółów.

Co potwierdzono

Oficjalny komunikat PHP potwierdza liczbę luk, ocenę ich istotności oraz planowaną godzinę wydania. Pełny opis, wykaz podatnych wersji i numery wydań z poprawkami mają zostać opublikowane wraz z aktualizacją. Informację o zapowiedzi niezależnie opisał BleepingComputer.

Autorzy PHP zastrzegli możliwość wcześniejszej publikacji, jeżeli ujawnione zostaną szczegóły którejkolwiek luki albo pojawią się dowody jej wykorzystywania. Samo to zastrzeżenie nie potwierdza trwających ataków. Na podstawie zapowiedzi nie należy też przesądzać, że każda instalacja PHP jest podatna lub że konkretna zmiana konfiguracji usuwa zagrożenie.

Kogo dotyczy przygotowanie

Sprawdzenie środowiska jest zasadne wszędzie tam, gdzie PHP obsługuje strony, sklepy i aplikacje internetowe. Własny serwer, kontener oraz hosting zarządzany wymagają różnych ścieżek aktualizacji. W przypadku usługi utrzymywanej przez dostawcę trzeba ustalić, kto odpowiada za wymianę środowiska uruchomieniowego i sprawdzenie aplikacji.

Poniższe działania to zalecenia przygotowawcze redakcji. Ostateczny zakres aktualizacji powinien wynikać z komunikatu towarzyszącego wydaniu.

Co zrobić teraz

• Sporządzić wykaz instalacji PHP, ich wersji, właścicieli oraz obsługiwanych aplikacji.
• Sprawdzić dostępność kopii zapasowych i przygotować możliwość przywrócenia działania po nieudanej aktualizacji.
• Uzgodnić z administratorem lub hostingodawcą dyżur na czas publikacji poprawek.
• Monitorować oficjalne komunikaty PHP, ponieważ godzina wydania może się zmienić.
• Po publikacji porównać wykaz podatnych wersji z inwentaryzacją, wdrożyć właściwe pakiety i sprawdzić działanie aplikacji.

Komentarz SecurHUB

Wcześniejsza zapowiedź daje czas na ustalenie odpowiedzialności za aktualizację i przygotowanie testów. Audyt bezpieczeństwa może pomóc uporządkować wykaz aplikacji oraz zależności, od których zależy sprawne wdrażanie pilnych poprawek.

Źródła: PHP, BleepingComputer