Binigyan ng babala ng cyber emergency team ng Europe ang mga website na hindi makakapag-patch ng dalawang matinding PHP vulnerability na mas mabuting mag-offline na muna sila. Parehong bug, kaya nitong kontrolin ang buong web server kahit walang login si attacker.
PHP ang gamit sa likod ng malaking bahagi ng web, mula sa mga WordPress blog hanggang sa mga online store na gamit ang Magento. Pero, bago pa lumabas ang official na fix, nag-leak na online ang detalye ng parehong bug.
Naunahan na ng Attackers
Naunang kumalat online ang leak nitong October 20, bago pa ang planong pag-anunsyo, ayon sa Huntress. Dahil dito, nag-schedule agad ng release ang security team ng PHP Foundation para October 21, 14:00 UTC.
Ayon sa Huntress, nabuksan na ng security firm na watchTowr ang isa sa dalawang bug. Pero, sinabi ng Huntress na wala pa naman silang nakitang aktwal na exploitation sa system ng mga users nila.
Pero iba ang nakita ni Dane Knecht, chief technology officer ng Cloudflare. Sabi niya, nagsisimula na ang mga pag-atake. Nag-deploy na ang Cloudflare ng firewall rules kontra sa mga kilalang attack path para sa lahat ng customers nila — pati yung mga free users.
Nakikita na namin ang mga unang atake at naga-update kami ng mitigation habang may lumalabas na bagong paraan ng pag-atake. TEMPORARYO lang ito.
Ibinalita ni Knecht ang babala na ito sa isang post sa X.
Binalaan din ng European Union Computer Emergency Response Team (CERT-EU) at ng cyber agency ng Australia na lahat ng version ng PHP mula PHP 5 pataas ay puwedeng maapektuhan, ayon sa Reuters.
Sabi rin ng Huntress, may ilang researcher na nag-e-expect na para lang sa supported PHP 8 versions ang lalabas na fix. Ibig sabihin, yung mga website na naka-lumang PHP version at wala nang support, baka walang matatanggap na patch.
Dumating ang babalang ‘to ilang linggo lang pagkatapos mag-warning ang mahigit 100 kumpanya tungkol sa pagdami ng AI cyberattacks sa mga susunod na buwan.
Ano ang Ibig Sabihin ng PHP Vulnerabilities Para sa Mga Website Owner?
Nagre-run ng PHP ang nasa 69% ng mga website na kilala ang server-side language, base sa data ng W3Techs. Sa WordPress pa lang, tungkol 40% ng lahat ng website sa mundo ang pinapatakbo nito.
Ayon sa CERT-EU, yung severity score na 9.2 ibig sabihin kaya nitong mag-execute ng remote code na hindi kelangan ng login. Sa madaling salita, pwede mag-run si attacker ng malicious code sa server kahit walang access o credentials.
Binalaan ng web host na GoDaddy na puwedeng makuha ng attacker ang mga data, baguhin ang itsura ng website, o kunin ang buong kontrol ng system. Lalo nang valuable ang mga nakaw na record tulad ng nangyari sa South Korean bank breaches.
Sinabi ng security plugin na Wordfence na lahat ng WordPress site ay nasa PHP server talaga. Pero hindi awtomatic na maaayos ng WordPress updates ang PHP vulnerabilities na ‘to. Kaya importante na alamin ng mga may-ari ng site kung sino ang nagma-manage ng PHP para sa kanila.
Patuloy na lumalaganap ang pag-atake sa mga pang-araw-araw na infrastructure, tulad na lang ng nangyaring hack sa French supermarket fridges nitong October. Sa pagkakataong ito, lumipat ang banta sa mismong software layer ng internet. Isang hindi nag-update ng server, puwede nang maging target.
