Europoje jau išjungiamos valstybinės svetainės: jei naudojate „WordPress“, skubiai patikrinkite PHP versiją, aptiktas pažeidžiamumas

Europoje kilo rimtas kibernetinio saugumo incidentas, dėl kurio spalio 21 dieną kai kurios valstybinės interneto svetainės buvo laikinai išjungtos. Nyderlanduose, Suomijoje ir kitose šalyse institucijos ėmėsi skubių apsaugos priemonių, paaiškėjus, kad vienoje plačiausiai pasaulyje naudojamų interneto technologijų aptiktos dvi itin pavojingos saugumo spragos. Problema aktuali ne tik valstybinėms sistemoms – ji gali paveikti milijonus įmonių, elektroninių parduotuvių, naujienų portalų ir kitų interneto svetainių.

Pavojus susijęs su PHP programavimo kalba, kuria pagrįsta didelė dalis šiuolaikinio interneto. Ją naudoja tokios populiarios turinio valdymo sistemos kaip „WordPress“, „Drupal“ ir „Joomla“. Saugumo ekspertų vertinimu, aptiktos spragos tam tikromis sąlygomis gali leisti programišiams nuotoliniu būdu vykdyti kodą pažeidžiamuose serveriuose, net neturint prisijungimo duomenų.

Spalio 21-osios popietę PHP kūrėjai jau išleido skubius saugumo atnaujinimus, tačiau specialistai perspėja, kad problema savaime neišnyks. Svetainės, kurių serveriuose pataisos nebus įdiegtos, ir toliau gali likti pažeidžiamos.

Grėsmė tokia rimta, kad valstybės nusprendė išjungti savo sistemas

Nyderlandų valdžia spalio 21 dieną oficialiai patvirtino, kad dėl PHP saugumo spragų prevenciškai sustabdytas kai kurių valstybinių interneto svetainių veikimas. Tarp paveiktų paslaugų buvo nurodyti „Overheid.nl“, „MijnOverheid.nl“ ir elektroninės tapatybės sistema „DigiD“. Panašių atsargumo priemonių imtasi ir kitose Europos šalyse.

Toks sprendimas nereiškia, kad į šias sistemas jau buvo įsilaužta ar nutekėjo jų naudotojų duomenys. Svetainių išjungimas šiuo atveju yra būdas sumažinti galimų atakų riziką, kol administratoriai įdiegs reikiamus saugumo atnaujinimus ir patikrins sistemas.

Apie pavojų perspėjo Europos Sąjungos institucijų kibernetinio saugumo tarnyba CERT-EU ir Jungtinės Karalystės Nacionalinis kibernetinio saugumo centras. Abi spragos, žymimos CVE-2026-109618 ir CVE-2026-109619, pagal CVSS 4.0 pažeidžiamumų vertinimo sistemą įvertintos 9,2 balo iš 10. Tai itin aukštas pavojingumo lygis, rodantis, kad galimo išnaudojimo pasekmės gali būti labai rimtos.

Viena spraga susijusi su netinkamu atminties valdymu, kai serveris apdoroja užklausas ir susiduria su atminties apribojimais. Kita atsiranda tada, kai ankstesnės užklausos duomenų būsena gali būti netinkamai panaudota apdorojant naują užklausą. Abi problemos gali sudaryti sąlygas vykdyti kenkėjišką kodą serveryje.

„WordPress“ svetainių savininkams – svarbus perspėjimas

Didžiausias šio incidento išskirtinumas tas, kad pažeidžiamumas aptiktas ne konkrečiame svetainės papildinyje ar temoje, o pačioje PHP vykdymo aplinkoje. Tai reiškia, kad problema gali būti aktuali net ir tiems svetainių savininkams, kurie reguliariai atnaujina „WordPress“, naudoja patikimus įskiepius ir laikosi įprastų saugumo rekomendacijų.

Paprastai tariant, svetainės turinio valdymo sistema gali būti visiškai atnaujinta, tačiau po ja veikianti serverio programinė įranga vis tiek gali turėti pavojingą spragą. Dėl šios priežasties vien „WordPress“ atnaujinimo šį kartą nepakanka.

Oficialioje „WordPress“ svetainėje spalio 21 dieną taip pat paskelbtas skubus perspėjimas. Jame pabrėžiama, kad šios spragos nėra būdingos vien „WordPress“, todėl specialus pačios turinio valdymo sistemos atnaujinimas joms taisyti nėra numatytas. Būtina atnaujinti serveryje naudojamą PHP.

Svetainių administratoriai PHP versiją gali patikrinti „WordPress“ valdymo skydelyje pasirinkę „Įrankiai“ („Tools“), tuomet „Svetainės būklė“ („Site Health“), „Informacija“ („Info“) ir „Serveris“ („Server“). Ten nurodoma, kokia PHP versija šiuo metu naudojama.

Saugumo pataisos jau išleistos: kurias versijas būtina įdiegti?

PHP kūrėjai spalio 21 dieną oficialiai paskelbė keturias atnaujintas versijas, kuriomis pašalinami aptikti pažeidžiamumai. Tai PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 ir PHP 8.5.12. Jeigu serveryje naudojama viena iš šių PHP šakų, būtina įsitikinti, kad įdiegta bent atitinkama pataisyta versija.

Sudėtingesnė situacija su PHP 8.1 ir senesnėmis versijomis. Jos nebegauna įprastų PHP projekto saugumo atnaujinimų, todėl tokių sistemų administratoriams rekomenduojama pereiti prie palaikomos versijos. Kai kurie operacinių sistemų ir ilgalaikio palaikymo paslaugų teikėjai siūlo atskirai pritaikytas pataisas, tačiau jų prieinamumą reikia tikrinti individualiai.

Svarbu ir tai, kad saugumo pataisas dažnai diegia ne pats svetainės savininkas, o prieglobos paslaugų teikėjas. Todėl naudojantiems bendro naudojimo serverius pirmiausia verta susisiekti su prieglobos įmone ir pasiteirauti, ar kritiniai PHP atnaujinimai jau pritaikyti.

PHP saugumo komanda taip pat perspėjo, kad laikinos apsaugos priemonės negali visiškai pakeisti programinės įrangos atnaujinimo. Jeigu sistemos neįmanoma greitai pataisyti, specialistai rekomenduoja svarstyti laikiną jos atjungimą nuo viešojo interneto, kol bus pašalinta grėsmė.

Ką tai reiškia Lietuvos interneto svetainių savininkams?

Lietuvoje PHP plačiai naudojama kuriant įmonių tinklalapius, elektronines parduotuves, naujienų portalus ir įvairias užsakymų sistemas. Todėl ši grėsmė aktuali ne tik didelėms organizacijoms, bet ir smulkiesiems verslininkams, kurie savo svetaines administruoja savarankiškai.

Jeigu turite „WordPress“ ar kitą PHP naudojančią svetainę, pirmiausia reikėtų išsiaiškinti, kokia PHP versija veikia serveryje ir ar jau įdiegtas saugumo atnaujinimas. Prieš atliekant pakeitimus patartina turėti veikiančią atsarginę kopiją, nes perėjimas prie naujesnės PHP versijos kartais gali sukelti senų papildinių ar individualiai sukurtų funkcijų suderinamumo problemų.

Taip pat naudinga paprašyti serverio administratoriaus patikrinti veiklos žurnalus, ar juose nėra neįprastų užklausų bei kitų galimų įsilaužimo požymių. Svarbu suprasti, kad vien įdiegta pataisa savaime nepašalina kenkėjiško kodo, jeigu užpuolikams jau buvo pavykę patekti į sistemą.

Paprastiems interneto svetainių lankytojams skubiai keisti visų slaptažodžių vien dėl šio pranešimo nereikia, nes patvirtintų masinių duomenų nutekėjimų faktas nėra nustatytas. Tačiau jeigu konkreti paslauga praneštų apie įsilaužimą ar galimą naudotojų duomenų kompromitavimą, reikėtų laikytis jos saugumo nurodymų.

Šis incidentas dar kartą parodė, kaip stipriai internetas priklauso nuo technologijų, kurių paprasti naudotojai dažniausiai net nepastebi. Vienos programavimo kalbos saugumo spragos pakako, kad keliose Europos valstybėse būtų laikinai sustabdytos svarbios elektroninės paslaugos. O svetainių savininkams pagrindinė užduotis dabar labai konkreti – neatidėlioti PHP atnaujinimo, nes paskelbtos pataisos apsaugo tik tas sistemas, kuriose jos iš tikrųjų įdiegtos.