Paralajmërim i fort i Bashkimit Europian për PHP: Mijëra faqe interneti në rrezik

Zhvilluesit e PHP kanë njoftuar se do të publikojnë përditësime për korrigjimin e dy cenueshmërive serioze, të cilat mund t’u mundësojnë sulmuesve të marrin kontrollin e sistemeve informatike pa pasur nevojë të identifikohen si përdorues të autorizuar. Përditësimet janë planifikuar të publikohen më 21 tetor, në orën 14:00 GMT, ose 16:00 sipas orës së Shqipërisë.

PHP është një teknologji e përhapura në internet dhe përdoret për funksionimin e platformave të njohura si WordPress, Drupal, Joomla dhe Magento. Ajo është gjithashtu pjesë e infrastrukturës së shumë shërbimeve të hostimit dhe aplikacioneve të tjera në internet.

Kompania e sigurisë kibernetike Huntress ka theksuar se përdorimi i PHP është shumë më i gjerë sesa mund të kuptohet nga përdoruesit, pasi kjo teknologji qëndron në themel të një numri të madh platformash dhe sistemesh.

Sipas njoftimit të ekipit të sigurisë së PHP, të dyja cenueshmëritë janë vlerësuar me 9.2 pikë në shkallën CVSS 4.0, një nivel që tregon rrezikshmëri kritike.

Përditësimet për korrigjimin e tyre janë planifikuar të publikohen më 21 tetor, në orën 14:00 GMT, ose 16:00 sipas orës së Shqipërisë. Ekipi i PHP u ka kërkuar përdoruesve dhe administratorëve të sistemeve të përgatiten për instalimin e përditësimeve sapo ato të bëhen të disponueshme.

Paralajmërimi është i fortë dhe ka ardhur nga Ekipi i Reagimit ndaj Emergjencave Kompjuterike i Bashkimit Europian (CERT-EU). Në një njoftim të publikuar të martën, agjencia shpjegoi se cenueshmëritë mund të krijojnë mundësinë e ekzekutimit të kodit në distancë pa autentikim.

Në praktikë, kjo do të thotë se një sulmues mund të shfrytëzojë cenueshmërinë për të ekzekutuar komanda në një server të cenueshëm, edhe pa zotëruar kredencialet e hyrjes.

CERT-EU ka kërkuar organizatave të identifikojnë sistemet e ekspozuara dhe të përgatiten për instalimin e menjëhershëm të përditësimeve. Në rastet kur kjo nuk është e mundur, agjencia rekomandon të merret në konsiderata nxjerrja përkohësisht jashtë funksionit e faqeve të prekura.

Një tjetër shqetësim lidhet me faqet e ndërtuara në WordPress. Sipas Wordfence, një mjet sigurie për këtë platformë, përditësimet automatike të WordPress nuk do të korrigjojnë vetvetiu cenueshmëritë në PHP. Për këtë arsye, pronarët e faqeve duhet të verifikojnë nëse përditësimi i PHP është përgjegjësi i administratorit të tyre apo i kompanisë që ofron shërbimin e hostimit.

Ekipi i sigurisë së PHP ka njoftuar se informacionet e hollësishme për cenueshmëritë, versionet e prekura dhe përditësimet korrigjuese do të publikohen së bashku me paketat e sigurisë.

Sipas vlerësimeve paraprake të CERT-EU dhe autoriteteve australiane, rreziku mund të shtrihet te versionet e PHP duke filluar nga PHP 5. Megjithatë, nuk ka raste të konfirmuara të shfrytëzimit aktiv të këtyre cenueshmërive.