21. oktoobri PHP-lekke: mis juhtus ja milline on hetkeseis

Kolmapäeval, 21. oktoobril said teatavaks kaks tõsist turvaauku PHP-s, programmeerimiskeeles, millel töötab valdav enamus kõikidest veebisaitidest, sealhulgas WordPress. Võib-olla märkasid sa midagi, sest osa päevast olid meie veebisaidid maas. Selles artiklis anname ülevaate sellest, mis juhtus, kuidas me tegutsesime ja mis on praegune olukord.

Mis juhtus?

Turvaaugud (CVE-2026-109618 ja CVE-2026-109619) võimaldasid volitamata isikutel käivitada koodi veebiserveris. See on umbes kõige hullem turvaauk, mis võib esineda: ründajal pole selleks parooli vaja ja see mõjutab peaaegu kogu internetti.

Kuidas me tegutsesime

1. Ajutine meedekolmapäev, 21. oktoober, kell 10:00

   Sel hetkel oli teada ainult see, et kõigis PHP versioonides on kaks tõsist turvaauku, mille CVE skoor oli 9,2. Üksikasju polnud veel teada ja õnnestunud häkkimisi polnud veel teada, kuigi näiteks Cloudflare nägi üha rohkem katseid. Kuna turvaaugu üksikasjad polnud teada, ei teadnud keegi täpselt, mis toimub ja mida saaks teha riski vähendamiseks. Samas said teatavaks üha rohkem leevendusmeetmeid ja võimalikke tegevusi riski vähendamiseks. Need rakendasime kohe, näiteks lülitasime välja teatud PHP funktsioonid ja uuendasime mitu korda tulemüüri.
   Alates kella 10:00st lasime pidevalt käia ka väga ranged pahavaraskaneeringud, et näeksime kohe, kui kuskile meie serveritesse või klientide kontodele oleks paigutatud skript. Seda ei juhtunud.

2. Veebisaidid maaskolmapäev, 21. oktoober, kell 15:15

   Kuigi me ei näinud oma serverites kuritarvitamiskatseid, otsustasime valida kõige turvalisema variandi: kõik maha. Peamine põhjus oli see, et meil olid kahtlused internetis leviva leevendusmeetme (ajutise lahenduse) tõhususe suhtes, kuna keegi ei suutnud kinnitada, et see pakub piisavat kaitset.
   Olukorras, kus on nii palju ebaselgust ja potentsiaalselt tohutud tagajärjed, on mõnetunnine seisak õigustatud, riski võtmine aga mitte.

3. Ametlik lahenduskolmapäev, 21. oktoober, kell 16:00

   PHP arendajad avaldasid ametliku uuenduse, mis sisaldas paranduse versioonidele 8.3, 8.4 ja 8.5. Seejärel tuli oodata CloudLinuxi, meie serverite PHP versioonide tarnija, uuendatud pakette.
   Uuenduse avaldamisel said teatavaks ka haavatavuste üksikasjad ja see kinnitas meie kahtlust: tuntud leevendusmeetmed ja täiendavad tulemüürireeglid vähendasid küll häkkimise riski, kuid see ei olnud piisav serveri kaitsmiseks.

4. Ajutine lahenduskolmapäev, 21. oktoober, kell 19:00

   Kahjuks võttis CloudLinuxil uuenduste valmimine palju kauem aega, kui me lootsime ja ootasime. Meie suhtlusest teiste pakkujatega selgus, et me polnud ainsad, keda see üllatas. Kuna nägime, et nad olid juba mitu korda oma seatud tähtaegadest mööda läinud, hakkasime tööle ajutise lahenduse kallal.
   Paigaldasime ise PHP versiooni 8.3.36 kõikidesse oma serveritesse ja seadsime kõik kliendid ajutiselt sellele versioonile. 90% veebisaitidest tuli kell 19:00 ja 20:30 vahel taas veebi. Ainsad veebisaidid, mis ei tulnud veebi, olid vananenud ega suutnud kasutada kaasaegset PHP versiooni.

5. Uuendamineneljapäev, 22. oktoober, kell 00:30

   Uuendused said saadavaks ja alustasime kohe nende paigaldamise ja kontrollimisega, server serveri haaval.

6. Lahendatudneljapäev, 22. oktoober, kell 02:30

   Kõik serverid olid uuendatud ja kõik veebisaidid olid taas veebis, samal PHP versioonil, mida nad varem kasutasid.

Mõistame hästi, et see on ebamugav, kui su veebisait on terve pärastlõuna ja õhtu kättesaamatu. See ebamugavus ei kaalu aga üles võimalikke tagajärgi. Me pole kunagi varem pidanud ettevaatusabinõuna kõike maha võtma, kuid kui sama olukord peaks uuesti tekkima, teeme täpselt sama.

Milline on praegune olukord?

• Kõik PHP versioonid, mida pakume, alates 5.2 kuni 8.5, sisaldavad turvaparandusi mõlemale turvaaugule.
• Üksikud veebisaidid, mis töötasid veel vanemal PHP versioonil, millele parandust ei ole, viisime üle parandatud versioonile.
• Kontrollisime servereid turvaaugu ajal ja pärast seda kuritarvitamise jälgede suhtes, nagu kinni jooksnud PHP protsessid, kahtlased protsessid, üleslaaditud failid ja tuntud ründele vastavad päringud. Me ei leidnud viiteid sellele, et turvaauku oleks meie serverites kuritarvitatud, ja enne maha võtmist ei leitud ka selleks katseid.

Kas minu veebisait on teistest eraldatud?

Jah. Iga majutuspakett töötab meil omaette, eraldatud keskkonnas. PHP töötab su paketi kasutaja all, ilma serveri haldusõigusteta, ega pääse ligi teiste klientide failidele ega andmebaasidele. Ka protsessori ja mälu kasutus on paketipõhiselt piiratud. Täpsemaid üksikasju oma turvalisuse kohta me teadlikult avalikult ei jaga: mida vähem ründaja teab, seda parem.