אתרים לא זמינים לכם פתאום? זה מכוון ותאשימו את PHP
שתי חולשות אבטחה חמורות עלולות לאפשר להאקרים להשתלט מרחוק על שרתים שמריצים PHP, גם בלי פרטי התחברות. 70% מהאתרים באינטרנט בסכנת פגיעה, אבל יש תיקון
מקור: Unsplash
כשזה מגיע לחולשות אבטחה שמשפיעות על מיליוני משתמשים, אנחנו בדרך כלל חושבים מיד על מערכות הפעלה כמו ווינדוס או אנדרואיד, או על דפדפנים עם נתח שוק חריג כמו כרום. אבל הפעם הסכנה מגיעה מכיוון קצת אחר, ומאחד הרכיבים החשובים ביותר באינטרנט. זה אמנם רכיב שרוב המשתמשים בכלל לא מודעים לקיומו, אבל הוא נמצא בשימוש יומיומי במוצרים של מטא, ויקיפדיה, סלאק, וורדפרס ועוד רבים. התיקון כבר קורה, אבל הוא עלול לפגוע בכמות אדירה של אתרים.
החולשות שמסכנות 70% מהרשת
שתי חולשות אבטחה קריטיות התגלו בשפת התכנות PHP, שלפי נתוני W3Techs, משמשת כ-70% מהאתרים ברשת (בזכות וורדפרס). החולשות הללו עלולות לאפשר לתוקפים להשתלט מרחוק על שרתים, לגנוב מידע ואפילו להשבית אתרים לחלוטין. בעקבות כך, צוות האבטחה של PHP פרסם אזהרה חריגה לקראת שחרור שני עדכוני אבטחה דחופים שהתבצע לפני זמן קצר (ד') בשעה 17:00, שעון ישראל.
שתי החולשות קיבלו ציון חומרה גבוה של 9.2 מתוך 10 במדד CVSS 4.0, וכבר זכו לכינוי PHP2Shell, מאחר שניצול שלהן מאפשר הרצת קוד מרחוק או RCE. על פי חברת הסייבר watchTowr, החולשות החדשות משפיעות על כל אתר המשתמש ב-PHP מגרסה 5 ואילך.
הבעיה המרכזית כאן, בניגוד לכמות אדירה של חולשות אבטחה שמתגלות מדי יום, היא ש-PHP היא לא עוד שפת תכנות נישתית, ולמרות הוותק שלה, היא משמשת להפעלת מערכות ניהול תוכן כמו וורדפרס ודרופל, פלטפורמות איקומרס ואינספור אתרים ושירותים נוספים. המשמעות היא שגם אם מעולם לא כתבתם שורת קוד ב-PHP, יש סיכוי מעולה שאתם מבקרים מדי יום באתרים שנשענים עליה.
לפי נתונים שפרסמה VirusTotal, ניתן לזהות ברשת כ-5.1 מיליון כתובות IP המשויכות לשרתים שמריצים PHP, מתוכן כ-3.8 מיליון הציגו לפחות פורט פתוח אחד בזמן הבדיקה. עם זאת, חשוב להדגיש שלא מדובר בהכרח ב-3.8 מיליון שרתים פגיעים, ומספר כתובות ה-IP אינו זהה למספר האתרים. שרת אחד יכול לאחסן מאות ואפילו אלפי אתרים, כך שהיקף החשיפה הפוטנציאלי גדול בהרבה.
בלי צורך בהזדהות
אז מה בעצם מאפשרות שתי החולשות החדשות? על פי האזהרות שפרסם צוות האבטחה של PHP, מדובר במצב שבו תוקף יכול להריץ קוד זדוני על שרת שמריץ PHP ללא צורך בהזדהות מוקדמת. כלומר, התוקף לא בהכרח צריך לדעת את סיסמת האדמין או להחזיק בחשבון משתמש כלשהו כדי לנצל את הפרצה. אחד מכיווני התקיפה שנחשפו מתמקד במנגנון בשם session.upload_progress, שנוסף ל-PHP בגרסה 5.4 ומופעל כברירת מחדל.
מדובר במנגנון שמאפשר לשרת לעקוב אחרי התקדמות העלאת קבצים ולשמור מידע על התהליך כחלק מהסשן של המשתמש. לפי הניתוחים הראשוניים של החוקרים, זו יכולה להיות נקודת כניסה אופטימלית לתוקפים, שיכולים לשלוח בקשות HTTP זדוניות ולנצל את המנגנון. עם קבלת הבקשות הללו, במקום שהשרת יתייחס למידע כאל נתונים תמימים בלבד, הוא יאפשר לתוקפים לבצע פעולות ללא הרשאה. הרצת קוד מרחוק במקרה הזה עלולה להיות חמורה במיוחד ולהוביל לקבלת גישה לקבצים רגישים, גניבת פרטי התחברות למסדי נתונים, שינוי תוכן האתר ואפילו השתלטות על השרת עצמו.
הפתרון כרגע? להוריד את האתר
חשיפת החולשות כבר הובילה לאזהרות חמורות מצד ארגוני סייבר ממשלתיים של האיחוד האירופי ושל בריטניה. הארגונים ביקשו מאתרים שעלולים להיפגע ואינם יכולים להתקין עדכון בהקדם, לשקול לחסום גישה לאפליקציות חיצוניות שישמשו לפריצה – ואפילו לרדת מהרשת לחלוטין עד לעדכון המערכות, וזה מה שלמשל לא מעט אתרים ממשלתיים בבריטניה עושים ברגעים אלו.
בשטח, זה כבר קורה. מערכת ההפעלה לחובבי הפרטיות GrapheneOS דיווחה שהסירה מהרשת את פורום המשתמשים שלה שרץ על PHP "מחשש לניצול החולשות". מפתחת מטעם צוות האבטחה של PHP ציינה שהתקנת העדכונים היא הדרך היחידה לטפל בחולשות, והוסיפה כי הורדה מהאוויר של שרתים חשופים "עשויה להיות הצעד הכי חכם לעשות". במקביל, ענקית תשתיות הרשת Cloudflare כבר מדווחת על ניסיונות ניצול אפשריים נגד אתרי ה-PHP שלה, ומעדכנת את הפיירוול שלה כדי לבלום את הניסיונות הללו עד לפריסת העדכונים המלאה מצד PHP. עוד פרטים כאן.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.