Le versioni di sicurezza di PHP rilasciate il 21 ottobre restano l'unica correzione per PHP2Shell, una coppia di vulnerabilità che può consentire a un attaccante non autenticato di prendere il controllo di un server vulnerabile. Le patch proteggono un server solo dopo che il proprietario le ha installate e ha riavviato PHP.

L'amministratore delegato di Cloudflare, Matthew Prince, ha dichiarato che i tentativi di exploit sulla rete dell'azienda sono cresciuti da migliaia a milioni. L'agenzia federale per la cibersicurezza tedesca, il BSI, e il governo giapponese hanno affermato di non aver confermato alcuna intrusione riuscita. La PHP Foundation, che finanzia il lavoro su PHP stesso, ha dichiarato di aver individuato per la prima volta i segnali di una delle falle nel 2024, descrivendo il ritardo nella risoluzione come "un fallimento strutturale".

Gli sviluppi sono arrivati un giorno dopo che le due vulnerabilità di PHP avevano spinto governi e organizzazioni a portare i siti web offline. La domanda immediata per gli utenti di Internet è se sia sicuro navigare normalmente. La risposta breve è che Internet in sé non si è rotto, e che la maggior parte degli utenti affronta il rischio attraverso i siti web che visita piuttosto che attraverso i propri telefoni o computer. Tuttavia, molti server devono ancora essere aggiornati.

PHP, un linguaggio open-source lato server, è utilizzato dietro le quinte da circa il 70% dei siti web il cui linguaggio di programmazione lato server è noto. Questa portata è il motivo per cui una falla in PHP stessa diventa un evento di aggiornamento su scala web anziché il problema di una singola azienda. Le due vulnerabilità, complessivamente soprannominate PHP2Shell, possono permettere a un estraneo di prendere il controllo di un server vulnerabile senza effettuare l'accesso.

PHP2Shell è stato corretto?

PHP ha rilasciato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2. il 21 ottobre, come indicato nelle note di rilascio. Il rilascio dichiara: "Non esistono mitigazioni complete, l'aggiornamento è l'unica scelta sicura." Al 22 ottobre, PHP non aveva emesso alcuna patch successiva.

La disponibilità di una patch non significa che ogni sito web interessato sia protetto. PHP non si aggiorna da solo, quindi le società di hosting, i reparti IT e i singoli proprietari di siti web devono installare la versione pertinente sui propri server e riavviare il software affinché la modifica abbia effetto. In pratica, la protezione si diffonde al ritmo della manutenzione dei server piuttosto che al momento del rilascio, quindi quanti server restino esposti sarà deciso dalla rapidità con cui gli operatori completano tali implementazioni.

PHP 8.1 e versioni precedenti non ricevono più rilasci ufficiali, rendendo i server più vecchi un punto debole particolare. Il team di sicurezza di PHP ha comunque pubblicato patch essenziali per le versioni 7.4, 8.0 e 8.1 per gli utenti che compilano il software autonomamente.

Ci sono state violazioni dei server?

Gli attaccanti hanno iniziato rapidamente a sondare i sistemi vulnerabili. Prince ha dichiarato che Cloudflare ha registrato migliaia di tentativi di exploit nei 10 ore prima dell'annuncio pubblico, decine di migliaia nei 45 minuti successivi, centinaia di migliaia entro due ore e milioni in seguito.

https://x.com/eastdakota/status/2113079352682570051?ref_src=twsrc%5Etfw

Amazon ha dichiarato che i suoi server esca hanno registrato un tentativo il 17 ottobre, quattro giorni prima della divulgazione pubblica delle vulnerabilità. Il CISO di Amazon, CJ Moses, ha scritto che "resta poco chiaro come l'attore abbia acquisito le informazioni sull'exploit prima della divulgazione", e ha detto che PHP2Shell era "ora ampiamente sfruttato in natura".

In un post sul blog di sicurezza, Amazon ha dichiarato che l'attività era stata osservata prima della divulgazione pubblica.

I governi, tuttavia, non avevano riportato intrusioni riuscite confermate in quel momento. Thomas Caspers, vicepresidente dell'agenzia federale per la cibersicurezza tedesca BSI, ha detto che l'agenzia aveva osservato attacchi ma nessuno sfruttamento riuscito delle falle. Ha aggiunto: "Sembra un po' più complicato del previsto da sfruttare." Il Capo Segretario di Gabinetto giapponese, Minoru Kihara, ha anch'esso affermato che non erano stati confermati attacchi che sfruttassero le vulnerabilità.

Un tentativo di exploit e una violazione riuscita sono eventi diversi. Possono verificarsi milioni di tentativi mentre nessuna intrusione confermata è ancora stata identificata, e le intrusioni riuscite possono essere scoperte successivamente anziché in tempo reale. Per i lettori che seguono la storia, ciò significa che gli aggiornamenti sulle violazioni confermate, se presenti, arriverebbero tramite indagini successive e divulgazioni ufficiali anziché annunci in tempo reale.

Perché il problema non è stato risolto prima?

La PHP Foundation ha dichiarato che il suo lavoro di sicurezza nel 2024 "ha trovato i primi segni del problema OOM dietro CVE-2026-109618", riferendosi al bug di esaurimento della memoria al centro di una delle due vulnerabilità.

Secondo il resoconto della foundation sul rilascio di sicurezza, il team ha sviluppato "diversi approcci concorrenti" ma "ha faticato a scegliere tra questi e temeva le ripercussioni dell'invio della scelta sbagliata". La foundation ha dichiarato che il suo finanziamento ha reso possibile per più persone lavorare a tempo pieno sul problema.

"Non faremo finta di niente: il ritardo è stato un fallimento strutturale, causato sia dal processo decisionale del team di sicurezza sia dalla sua mancanza di risorse", ha scritto la foundation. Ha detto che il team di sicurezza in precedenza richiedeva il consenso unanime ma ora prenderà le decisioni a maggioranza.

La foundation ha anche affermato che il lavoro di sicurezza sul software che gestisce gran parte del web "dipende ancora da un piccolo gruppo di sviluppatori finanziati dalla foundation e da un po' di aiuto volontario".

Perché alcuni siti web sono rimasti offline?

L'applicazione delle patch richiede tempo, e alle organizzazioni che non potevano applicare immediatamente la correzione è stato consigliato di portare i sistemi offline. Il National Cyber Security Centre del Regno Unito ha detto alle organizzazioni di considerare "la messa offline del sistema fino a quando non possa essere completamente mitigata" nella sua guida.

Secondo TechRadar, i siti web e i servizi interessati il 21 ottobre includevano i servizi Wikimedia, i siti web e le applicazioni Orange in decine di paesi, 32 servizi governativi britannici, ospedali olandesi e il fornitore IT federale tedesco, ITZBund.

L'Office for Budget Responsibility del Regno Unito e il sito web del comune di Edimburgo erano di nuovo online entro il 22 ottobre. Altri servizi, tra cui il sito olandese di segnalazione criminale anonima Meld Misdaad Anoniem, erano ancora offline giovedì mattina, secondo DutchNews.

Gli utenti dovrebbero cambiare le password?

Non solo a causa di PHP2Shell, almeno sulla base delle informazioni disponibili. Nessuna violazione di dati confermata era stata collegata alle vulnerabilità, e cambiare tutte le password non proteggerebbe un sito web il cui server resta non aggiornato.

Le misure di sicurezza standard restano utili: utilizzare una password unica per ogni account, attivare l'autenticazione a due fattori e prestare attenzione alle comunicazioni delle aziende su possibili violazioni nelle prossime settimane. Se un'azienda conferma una violazione, gli utenti devono cambiare la password interessata e qualsiasi altra password riutilizzata.

I proprietari di siti web hanno lavoro aggiuntivo, perché applicare una patch chiude la vulnerabilità ma non mostra se un attaccante abbia avuto accesso al server in precedenza. L'azienda di sicurezza Tag1 consiglia ai proprietari di cercare file PHP che non hanno caricato, nuove attività pianificate e account appena creati. Raccomanda inoltre di ruotare le password dei database e le chiavi API su qualsiasi server esposto a Internet che abbia eseguito una versione vulnerabile. La guida di Tag1 è disponibile qui.

Cosa significa PHP2Shell per gli utenti crypto?

Il fondatore di Binance, Changpeng Zhao, ha avvertito gli utenti su X: "Chiamatemi paranoico, ma siate estremamente prudenti nel visitare QUALSIASI sito web nei prossimi giorni."

httpsx.com/cz_binance/status/2113029289155178716

Un server web compromesso può mostrare una versione contraffatta di un sito legittimo. Nel settore crypto, una tale pagina potrebbe chiedere all'utente di collegare un wallet e approvare una transazione che lo svuota. Una rete blockchain può restare inalterata mentre i siti web che forniscono l'accesso ad essa sono compromessi.

Gli utenti devono verificare attentamente ciò che firmano, aggiungere ai segnalibri i siti web anziché seguire link e usare un hardware wallet se ne possiedono uno. Nessun exchange crypto aveva pubblicamente riportato una violazione legata a PHP2Shell al 22 ottobre.

È sicuro navigare?

Navigare sul web era sostanzialmente sicuro quanto nella settimana precedente, anche se nessuna attività su Internet è priva di rischi. L'esposizione principale riguardava i server non aggiornati. L'azienda di sicurezza Mallory ha contato circa 884.000 host esposti a Internet che eseguono versioni di PHP che non ricevono più una correzione ufficiale.

Amazon ha sollecitato i difensori a non presumere che la data di divulgazione pubblica fosse la data più recente di sfruttamento. "I difensori non dovrebbero presumere che la data di divulgazione pubblica sia la data più recente di sfruttamento", ha detto l'azienda. Qualsiasi server che abbia eseguito una versione vulnerabile di PHP almeno dal 17 ottobre dovrebbe essere analizzato, non solo aggiornato.

Fonte originale: Decrypt