Luki w PHP: Centralny Ośrodek Informatyki wyłączył ponad 8 tys. stron BIP w systemie SSDIP

Co zostało wyłączone

Centralny Ośrodek Informatyki podjął decyzję o czasowym wyłączeniu stron Biuletynu Informacji Publicznej, które działają w Systemie Scentralizowanego Dostępu do Informacji Publicznej (SSDIP). Poinformowało o tym w czwartek Ministerstwo Cyfryzacji. Jak podaje Puls Biznesu, chodzi o ponad 8 tys. stron.

SSDIP to system, który pozwala instytucjom publicznym prowadzić własne strony BIP. Resort podkreśla, że niedostępność dotyczy wyłącznie witryn działających w serwisie ssdip.bip.gov.pl, a nie wszystkich stron BIP w Polsce.

Zobacz: Gawkowski po spotkaniu z platformami: skrócenie moderacji i ostra krytyka X

Na czym polega luka w PHP

Według komunikatu ministerstwa, opublikowanego w czwartek na jego profilu w serwisie X, luki pozwalają atakującemu na zdalne wykonanie dowolnych poleceń systemowych. Wynikają z błędów w mechanizmie zarządzania pamięcią.

Podatność wykryto we wszystkich wersjach PHP od 5.4 wzwyż. PHP jest językiem programowania używanym przez wiele serwisów na świecie, a także przez popularne oprogramowanie, takie jak WordPress, Joomla czy WooCommerce. Resort wskazuje, że systemy oparte na tych rozwiązaniach również są podatne.

Ministerstwo zaznacza, że jedyną skuteczną metodą ochrony jest instalacja poprawionej wersji PHP.

Reakcja rządu i apel do administratorów

Resort wyjaśnia, że czasowe wyłączenie serwisu pozwoli wprowadzić niezbędne zabezpieczenia i zadbać o jego bezpieczne działanie. Jak przekazał minister cyfryzacji Krzysztof Gawkowski, odbyło się już spotkanie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa, a przygotowany plan działań „obecnie jest wdrażany”.

Ministerstwo apeluje do administratorów wszystkich serwisów korzystających z PHP o pilną instalację poprawionych wersji. Jeśli znajdą ślady wykorzystania podatności, powinni zgłosić to zespołowi CERT Polska przez formularz na stronie incydent.cert.pl. CERT publikuje też bieżące informacje i rekomendacje dotyczące luki.

Podobne decyzje za granicą

Jak podaje RMF24, już w środę strony instytucji rządowych w kilku państwach w Europie i poza nią zostały wyłączone po ujawnieniu krytycznych luk w PHP. Zamknięto m.in. rządowe witryny w Finlandii i Holandii, a także w Japonii i Australii.

RMF24 dodaje, że w środę część użytkowników nie miała dostępu do części Wikipedii. Źródła nie wskazują jednak, jaki był związek tej awarii z luką, więc nie można go przesądzać.

Co dalej

Sprawa ma charakter rozwojowy, a dostępne informacje są wstępne. Materiały nie podają, kiedy strony BIP w systemie SSDIP zostaną ponownie udostępnione ani czy w Polsce doszło do wykorzystania luki przez atakujących.

Administratorzy innych serwisów opartych na PHP mają zainstalować poprawione wersje oprogramowania. Bieżące zalecenia publikuje CERT Polska.