Eesti hoiab olulised avalikud veebilehed avatuna, kui PHP vead sulgevad naaberriikide lehti

Mitmed riigid on sulgenud valitsuse veebilehed pärast seda, kui PHP programmeerimiskeelest leiti kriitilised turvaaugud ja arendajad teatasid, et avaldavad parandused. Euroopa Liidu küberturbeametnikud hoiatasid, et organisatsioonid, kes ei suuda uuendusi kohe paigaldada, peaksid mõjutatud veebilehed ajutiselt sulgema. Eesti Riigi Infosüsteemi Amet (RIA) ütleb, et ei näe praegu kõrgendatud kriisi ega sulge olulisi veebilehti.

RIA küberturbekeskuse arhitekt Veikko Raasuke ütles, et Eesti on küberkaitses suhteliselt heas seisus ning on teinud ulatuslikku tööd probleemide ennetamiseks ja veebilehtede kaitsmiseks lisameetmetega. Ta ütles, et oluliste riigisektori ja avaliku sektori veebilehtede kaitse on praegu paigas ning see loodi üheksa tundi enne uuenduste avalikku väljalaset. Riigisektori ja elutähtsate teenuste osutajate seisukohast ei näe RIA tema sõnul praegu mingit kõrgendatud kriisi.

Raasuke selgitas, et PHP on komponent, mida kasutatakse veebilehtede pakkumiseks, teenindamiseks ja ehitamiseks, raamistik, mille sees veebileht ja selle komponendid töötavad. Leitud on kaks kriitilist haavatavust, mida saab ära kasutada, mis tähendab, et serveriteni võib jõuda ilma kasutajanime või autentimisandmeid teadmata. RIA-le ei ole veel teada, et vigu Eesti veebikeskkonnas ära kasutataks, kuid olukorda jälgitakse pidevalt. Ta ütles, et PHP on üks levinumaid raamistikke veebiteenustes, sealhulgas Drupal, Joomla ja WordPress, nii et Eestis on kindlasti kümneid tuhandeid haavatavusele vastuvõtlikke servereid.

Kolmapäeval kell 17.00 Eesti aja järgi peaks ilmuma uuendatud versioon, milles augud on lähtekoodis parandatud. Raasuke ütles, et veebilehtede omanikud peavad oma serverites PHP raamistiku uuendama, et viga ei saaks nende vastu kasutada. PHP turbemeeskond on öelnud, et haavatavuste üksikasjad, mõjutatud versioonid ja parandatud väljalasked avaldatakse koos paikadega. Turvauuenduse teade hindas mõlemad vead CVSS v4.0 skaalal hindega 9,2 ja kutsus kasutajaid üles paigaldama uuenduse kohe, kui see kättesaadavaks muutub.

RIA soovitab kõigi PHP-d kasutavate süsteemide administraatoritel valmistuda paranduste viivitamata paigaldamiseks. Seni teadaoleva teabe põhjal võib ärakasutamine lubada autentimata ründajal käivitada haavatavas süsteemis mis tahes käske ning võimalike ärakasutusmeetodite teateid on juba avalikkuses ilmunud. Amet ütles, et PHP-d kasutatakse laialdaselt veebirakendustes, internetiga ühendatud ja sisemistes infosüsteemides ning konteinerkeskkondades, nii et nõrkused kujutavad paljudele süsteemidele märkimisväärset ohtu. Teenusepakkujad ja administraatorid peaksid esimesel võimalusel tuvastama kõik PHP-süsteemid ja olema valmis paika kohe pärast avaldamist paigaldama. Kui süsteeme ei saa viivitamata uuendada, tuleks rakendada ajutisi leevendusmeetmeid.

Euroopa Liidu arvutiintsidentidele reageerimise üksus CERT-EU ütles teisipäeval avaldatud ohuhinnangus, et raskusaste 9,2 viitab autentimata koodi kaugkäivituse ohule, veale, mis laseb ründajatel käivitada haavatavates süsteemides pahatahtlikku koodi sisse logimata. CERT-EU kutsus organisatsioone üles valmistuma mõjutatud süsteemide koheseks paikamiseks ja soovitas neil, kes seda ei suuda, kaaluda veebilehtede ajutist võrgust eemaldamist. Austraalia küberturbekeskus andis sarnase juhise, paludes organisatsioonidel leida PHP-süsteemid, valmistuda paranduste paigaldamiseks ja jälgida rakendusi pahatahtliku tegevuse märkide suhtes. Keskus ütles, et talle ei ole praegu teada, et auke aktiivselt ära kasutataks.

Soome riigi IT-keskus Valtori ütles avalduses, et sulges kolmapäeval ettevaatusabinõuna riigi avalikud veebiteenused, sest laialdaselt kasutatavas PHP-tarkvaras oli leitud kaks kriitilist auku. Valtori ütles, et aukude ärakasutamise katseid ei ole tuvastatud ja katkestust ei põhjustanud andmeleke. Hollandi küberturbeamet ütles, et oli ettevaatusabinõuna sulgenud oma veebilehe. Ka Läti sulges riigi veebilehed ning Läti rahvusringhäälingu LSM-i portaal on turvariskide tõttu maas. Raasuke ütles, et kui Läti või Soome on sulgenud olulisi lehti, näiteks valitsuse avalehe või rahvusringhäälingu veebilehe, ei seisa Eesti silmitsi ohuga, mis nõuaks sama sammu.

PHP käitab suurt osa internetist ning viimase päeva jooksul on levinud spekulatsioonid, et tarkvara kasutavad veebilehed võivad langeda tõsiste küberrünnakute ohvriks. Küberturbeettevõte Huntress ütles blogipostituses, et PHP on kõikjal ja käitab vaikselt WordPressi, Drupali, Joomla ja Magento lehti, jagatud majutusplatvorme, juhtpaneele ja tohutul hulgal tarkvara, mis ei reklaami PHP-d oma mootorina. Cloudflare'i tehnoloogiadirektor Dane Knecht ütles, et esimesed rünnakud on juba alanud ja et Cloudflare uuendab oma tulemüürireegleid ajutise meetmena, kui ilmnevad uued ründevektorid. Ta kirjutas, et see on ainult ajutine lahendus ja parandus tuleks paigaldada kohe, kui PHP uuenduse avaldab.

Majutusteenuse pakkuja GoDaddy ütles, et augud võivad lubada ründajatel käivitada mõjutatud serverites koodi interneti kaudu, mis võib potentsiaalselt viia andmevarguse, veebilehe moonutamise või kogu süsteemi kompromiteerimiseni. WordPressi turvaplugina Wordfence'i arendajad märkisid, et kõik WordPressi veebilehed töötavad PHP-ga varustatud serverites. Ettevõte hoiatas, et automaatsed uuendused seda turvaparandust ei paigalda, ja soovitas veebilehtede omanikel välja selgitada, kes vastutab PHP uuendamise eest.

Tähestiku (Alphabet) omanduses oleva küberturbeettevõtte Wiz blogipostituse kohaselt avastati PHP augud tehisintellekti abil. Postituses öeldi, et vead olid PHP lähtekoodis lebanud rohkem kui kümme aastat ja inimesest häkkeril oleks olnud neid erakordselt raske ära kasutada. Wiz ütles, et uuring tugines ettevõtte autonoomsele tehisintellekti haavatavuste otsimise tööriistale Wiz Atlas, Google'i mudelile Gemini 4 Argon ja OpenAI mudelile GPT-5.6 Sol. Pärast augu leidmist ja turvaparanduse kontrollimist tegi Wiz koostööd PHP meeskonna, OpenAI ja küberturbeettevõttega Calif. Klientide kaitsmiseks ja kaitse ettevalmistamiseks tegi ettevõte koostööd ka Google Cloudiga, Cloudflare'iga, Amazon Web Servicesiga, Microsoftiga, WordPress.com-i haldava Automatticuga ja mitme teise ettevõttega. Valge Maja avalduse kohaselt sai haavatavus teatavaks reedel. Avalduses öeldi, et avastus näitab, miks Ameerika juhtpositsioon tehisintellektis on kriitiliselt tähtis, viidates president Donald Trumpi eelistatud terminile selle tehnoloogia kohta, ja kirjeldati seda kui Ameerika innovatsiooni, mis tugevdab riiklikku julgeolekut.