За два дня накопились сразу три проблемы: критические уязвимости в PHP, срочные обновления Node.js и скомпрометированные сертификаты eMudhra. Разбираемся, почему европейские госсайты уходили в офлайн и касается ли это Казахстана.
21 октября в нескольких странах Европы перестали открываться сайты госорганов, новостных порталов и больниц. Хакеры тут ни при чём: ресурсы отключали сами владельцы, чтобы не оставлять злоумышленникам шанса.
Повод — две критические уязвимости в PHP. Пока администраторы ставили обновления, почти одновременно появились ещё две тревожные новости: срочные исправления для Node.js и проблема с сертификатами, благодаря которым браузер показывает защищённое соединение.
Что не так с PHP
PHP — это язык, на котором сервер собирает страницы, обрабатывает формы и достаёт данные из базы. Посетители о нём обычно не думают, но именно на PHP работают WordPress, «1С-Битрикс» и множество других систем, а в сумме это значительная доля сайтов в мире.
Разработчики PHP сообщили о двух критических ошибках. При определённых условиях через них посторонний мог запускать команды на чужом сервере, причём без пароля. Фактически это открывало путь к материалам сайта, базам данных и служебной информации. Обе уязвимости оценили в 9,2 балла из 10 по шкале критичности.
Европейские службы кибербезопасности предложили владельцам сайтов выбор: срочно обновиться или на время изолировать ресурс от интернета. Многие выбрали второе. Лучше несколько часов простоя, чем последствия возможного взлома.
Какие сайты отключали
В Латвии ограничения коснулись сайтов 165 государственных и муниципальных учреждений. Около пяти часов не работал новостной портал общественного вещателя LSM.lv, были перебои с сайтом и приложением Латвийского радио. В национальной команде CERT.LV подчёркивали, что это профилактика, а не подтверждённый взлом госсистем.
В Нидерландах на время становились недоступны государственный портал Overheid.nl, сайты порта Роттердама, футбольной ассоциации KNVB и ряда больниц. Во Франции ограничивали работу сайтов префектур, в Германии — отдельных федеральных ресурсов. Финский государственный ИТ-центр тоже принимал превентивные меры. Европейское патентное ведомство отключило сайт и часть онлайн-порталов, а после установки исправлений начало возвращать их в строй.
Казахстан и соседи
Дошла эта история и до Казахстана. 21 октября казахстанское представительство «1С-Битрикс» предупредило пользователей Битрикс24 и «1С-Битрикс: Управление сайтом». В компании пояснили: дело не в их продуктах, а в PHP, на котором те могут работать. Владельцам облачного Битрикс24 обновлять ничего не нужно, серверами занимается поставщик. Тем, у кого сайт на собственном хостинге, стоит узнать версию PHP у хостера или администратора.
В открытых источниках на 22 октября нет подтверждённого списка казахстанских банков, госпорталов или СМИ, которые пришлось отключать из-за этих уязвимостей. Но это не значит, что опасность обошла страну стороной: просто говорить о случившемся инциденте пока рано.
В России специалисты предупреждали, что под удар потенциально могут попасть десятки тысяч сайтов, а хостинг-провайдеры рассылали клиентам срочные уведомления. Это оценка масштаба угрозы, а не число подтверждённых атак.
Node.js: ещё одна порция исправлений
Тогда же, 21 октября, команда Node.js выпустила внеплановые обновления. На этой платформе работает много современных веб-сервисов. Исправления касаются, в частности, обработки сжатых данных, проверки защищённых соединений и работы с адресами серверов. При определённых обстоятельствах часть ошибок тоже могла привести к серьёзным рискам.
С отключением европейских госпорталов это связывать не стоит: оснований считать, что причиной был Node.js, нет. Но и сайтам без PHP в эти дни пришлось срочно проверять обновления.
Сертификаты eMudhra и значок замка
Третья проблема нашлась в системе цифровых сертификатов. Замок рядом с адресом сайта означает, что браузер установил защищённое соединение именно с тем сервером, за который тот себя выдаёт. Для этой проверки браузеры доверяют удостоверяющим центрам — своего рода цифровым нотариусам.
У индийской компании eMudhra оказались скомпрометированы секретные ключи восьми промежуточных сертификатов. Теоретически злоумышленник, способный перехватить соединение, мог выдать поддельный сайт за настоящий. Chrome и Firefox быстро заблокировали эти ключи, но часть сайтов, связанных с той же цепочкой доверия, получила ошибки HTTPS и была вынуждена переоформлять сертификаты.
Это не значит, что «сломался весь HTTPS»: сертификаты Let’s Encrypt, например, к eMudhra отношения не имеют. Но история показала, что безопасность сайта зависит не только от него самого, но и от глобальной системы доверия, на которую опираются браузеры.
Что делать пользователям
Отказываться от интернета не нужно. Достаточно обновлять браузер и устройство, не игнорировать предупреждения о сертификатах и не вводить пароль на странице, в подлинности которой есть сомнения. Если привычный сайт недоступен, лучше дождаться официального сообщения о восстановлении, чем искать его по ссылкам из рассылок и мессенджеров.
Владельцам сайтов урок жёстче: мало обновлять дизайн, WordPress или отдельный плагин. Нужно знать, какая версия серверного ПО работает под ними, держать проверенные резервные копии и уметь быстро ставить исправления. Начать стоит с простого вопроса хостеру или администратору: какая версия PHP сейчас стоит на сервере?
От редакции
21 октября мы проверили и обновили PHP на русской и казахской версиях Eurasia24 до исправленной версии 8.3.36. Обе критические уязвимости на наших сайтах закрыты, отключать их для читателей не пришлось. Проверку и усиление защиты остальных компонентов инфраструктуры продолжаем.
