Kiberincidentu novēršanas institūcija CERT.LV un Eiropas Savienības kiberdrošības dienests CERT-EU brīdina par divām kritiskām PHP programmatūras ievainojamībām, kas var apdraudēt tīmekļa vietņu un digitālo pakalpojumu drošību.
Lai pasargātu valsts informācijas sistēmas no iespējamiem kiberuzbrukumiem, pieņemts lēmums uz laiku ierobežot piekļuvi vairākiem valsts digitālajiem resursiem no ārvalstīm. Šie preventīvie drošības pasākumi tiks piemēroti selektīvi, lai mazinātu apdraudējumu un nodrošinātu drošības atjauninājumu savlaicīgu ieviešanu. Piekļuves ierobežojumi varētu būt spēkā līdz pirmdienai, 26.oktobrim, atkarībā no drošības atjauninājumu ieviešanas gaitas.
PHP ir plaši izmantota tīmekļa programmēšanas tehnoloģija, uz kuras balstās gan valsts informācijas sistēmas, gan uzņēmumu mājaslapas, interneta veikali un klientu portāli.
Minētās ievainojamības (CVE-2026-109618 un CVE-2026-109619) ir kritiskas, un to bīstamība CVSS skalā novērtēta ar 9.2 punktiem no 10. Tās ietekmē PHP programmatūras versijas, sākot no PHP 5, un var ļaut uzbrucējiem bez autentifikācijas attālināti izpildīt ļaunprātīgu kodu ievainojamos serveros, potenciāli apdraudot datu drošību un pakalpojumu nepārtrauktību. Ievainojamības skar dažādus PHP tīmekļa pieprasījumu apstrādes risinājumus, tostarp PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed.
PHP izstrādātāji 21.oktobrī ir publicējuši ārkārtas drošības atjauninājumus, un sistēmu uzturētāji tiek aicināti nekavējoties atjaunināt PHP programmatūru uz labotajām versijām - 8.5.12, 8.4.27, 8.3.36 vai 8.2.35. Īpaša uzmanība jāpievērš sistēmām, kurās joprojām tiek izmantotas novecojušas un ražotāja neatbalstītas PHP versijas.
PHP izstrādātāji ir publicējuši arī ieteikumus ievainojamību ietekmes mazināšanai neatbalstītās programmatūras versijās, tomēr šie pasākumi tikai daļēji ierobežo iespējamos uzbrukumu veidus un neaizstāj drošības atjauninājumus. Sistēmām, kuras nav iespējams atjaunināt uz drošu PHP versiju, ir jāierobežo piekļuve no interneta, nepieļaujot to publisku pieejamību līdz drošības risku novēršanai.
Arī privātā sektora uzņēmumi tiek aicināti nekavējoties pārbaudīt savas IT sistēmas un uzstādīt pieejamos drošības atjauninājumus. Īpaša uzmanība jāpievērš publiski pieejamām mājaslapām, interneta veikaliem, klientu portāliem un citām biznesam kritiskām sistēmām. Uzņēmumiem nepieciešams sazināties ar saviem IT uzturētājiem vai hostinga pakalpojumu sniedzējiem, lai pārliecinātos par izmantotajām PHP versijām un nepieciešamo atjauninājumu ieviešanu.
CERT.LV uzsver, ka kritisku ievainojamību gadījumā būtiska ir savlaicīga un koordinēta rīcība. Preventīvi piekļuves ierobežojumi ir pagaidu aizsardzības pasākums, savukārt operatīva drošības atjauninājumu uzstādīšana ir būtiska gan valsts, gan privātā sektora informācijas sistēmu drošībai un digitālo pakalpojumu nepārtrauktībai.
