PHP on programmeerimiskeel, millel töötavad WordPress, WooCommerce, Joomla, Drupal ja suur osa kogu maailma kodulehtedest. Kui viga on PHP-s endas, on ohus korraga väga palju lehti – sõltumata sellest, kui hästi on hooldatud koduleht ise.
Mis juhtus?
Turvafirma Wiz leidis augustis tehisintellekti abil PHP-st vead, mida on võimalik kasutada serveri ülevõtmiseks, ning teatas neist PHP turvameeskonnale. Parandused pidid avalikuks tulema 22. oktoobril, kuid info lekkis varem ja PHP avaldas turvauuenduse 21. oktoobril.
- Raskusaste: PHP turvameeskond hindab mõlemat viga skooriga 9,2 ehk kriitiliseks.
- Mõju: ründaja võib ühe spetsiaalse päringuga ja ilma sisselogimiseta saada serveris koodi käivitada – enne, kui WordPress ise üldse laadima hakkab.
- Mõjutatud: praktiliselt kõik PHP versioonid alates 5.4-st ning kõik levinud seadistused (PHP-FPM, Apache koos mod_php-ga, CGI, LiteSpeed). Suurimaks peetakse riski Apache ja mod_php seadistuses.
- Rünnakud: Cloudflare teatas juba 21. oktoobri hommikul esimestest ründekatsetest. Kinnitatud edukaid sissetungimisi seisuga 21. oktoober teada ei olnud.
Kas minu koduleht on ohus?
Kui sinu koduleht või e-pood töötab WordPressil, WooCommerce’il või mõnel muul PHP-põhisel süsteemil, siis tõenäoliselt jah – kuni server pole uuendatud. Lehed, mis on tehtud näiteks Next.js-iga ega kasuta serveris PHP-d, sellest veast otseselt ei sõltu.
Kuidas kontrollida?
- WordPressi halduses ava Tööriistad → Saidi tervis → Info → Server ja vaata PHP versiooni.
- Versioon peab olema vähemalt 8.5.12, 8.4.27, 8.3.36 või 8.2.35 (vastavalt sellele, mis haru on kasutusel).
- Mõned Linuxi distributsioonid ja majutajad paigaldavad paranduse ilma, et nähtav versiooninumber muutuks. Kui number on vanem, küsi kindluse mõttes oma majutajalt, kas parandus on paigaldatud.
- Kui kasutusel on PHP 8.1 või vanem, ei saa see PHP projektilt enam ametlikke uuendusi. Sel juhul tuleb liikuda versioonile 8.2 või uuemale.
Mida teha – sõltuvalt majutusest
Jagatud majutus (nt tavaline veebimajutuse pakett)
PHP uuendab majutusteenuse pakkuja kõigi klientide jaoks. Sinu ülesanne on kontrollida, kas see on tehtud, ja vajadusel valida majutuse halduspaneelis toetatud PHP versioon (8.2 või uuem).
Hallatud WordPressi majutus
Ka siin uuendab PHP majutaja. Vaata nende teadaandeid või küsi klienditoelt kinnitust.
Oma server või VPS
Siin ei tee seda keegi teine sinu eest. Server tuleb kohe uuendada parandatud PHP pakettidega ja PHP teenus taaskäivitada – ilma taaskäivituseta jääb töötama vana versioon. Need lehed tuleb uuendada kõige esimesena.
Kui kasutad Cloudflare’i
Cloudflare lisas ajutised tulemüürireeglid teadaolevate ründeviiside vastu kõigile klientidele, ka tasuta paketis. See on lisakaitse, mitte asendus – PHP tuleb ikkagi uuendada.
Kui kohe uuendada ei saa
PHP arendajate sõnul on ainus täielik lahendus uuendamine – seadete muutmine viga ei paranda. Ajutiselt soovitatakse oma serveris lülitada välja üks ründeviis seadega session.upload_progress.enabled = 0 (WordPress seda funktsiooni ei kasuta) ja PHP taaskäivitada. Jagatud majutuse puhul ära hakka serveri seadeid ise muutma, vaid küsi majutajalt. Kui server on vana ja seda ei saa kiiresti uuendada, tasub kaaluda lehe ajutist mahavõtmist – mõned organisatsioonid tegid nii ka seekord.
Kuidas aru saada, kas lehte on rünnatud?
- Serveri logides on palju järjestikuseid 500-vigu või mälupiirangu (memory limit) vigu.
- Lehele on tekkinud tundmatuid faile, kasutajaid või ümbersuunamisi.
- Google või viirusetõrje hoiatab lehe külastamise eest.
Kui kahtlustad sissetungi, uuenda PHP, taasta vajadusel puhas varukoopia ja vaheta kõik paroolid. Isikuandmete lekke korral tuleb 72 tunni jooksul teavitada Andmekaitse Inspektsiooni.
Kokkuvõte
PHP2Shell on üks tõsisemaid PHP turvavigu viimastel aastatel ja see puudutab ka hästi hooldatud WordPressi lehti, sest viga on serveris, mitte kodulehes. Kontrolli täna oma PHP versioon või küsi majutajalt kinnitust. Kui sa ei tea, kus su koduleht asub või kes selle eest vastutab, kirjuta meile – vaatame üle. Pikemaajaliseks lahenduseks vaata meie kodulehe hoolduse teenust. Hiljutistest WordPressi turvauuendustest lugesid ehk ka artiklist WordPressi ja Next.js-i kriitilised turvauuendused.
Korduma kippuvad küsimused
Kas WordPressi uuendamine kaitseb PHP2Shelli eest?
Ei. Viga on PHP-s endas ja WordPressi, pluginate või teema uuendamine seda ei paranda. Uuendada tuleb serveri PHP versiooni või lasta majutajal seda teha.
Millised PHP versioonid on parandatud?
Parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1 ja vanemad ametlikke uuendusi enam ei saa, seega tuleb liikuda versioonile 8.2 või uuemale.
Kuidas ma tean, kas minu majutaja on PHP uuendanud?
Vaata WordPressi halduses Tööriistad → Saidi tervis → Info → Server. Kuna mõned majutajad paigaldavad paranduse versiooninumbrit muutmata, küsi kindluse mõttes kinnitust majutaja klienditoelt.
Arendame kodulehti, e-poode ja äritarkvara ning kirjutame sellest, mida oleme päriselt teinud.
Loe lähemalt: Kodulehe hooldus
Räägi meile, mida soovid saavutada – vastame 3 tööpäeva jooksul ja pakume konkreetse lahenduse koos hinna ja ajakavaga.
