PHP: päivitä myös helposti unohtuvat järjestelmät

Varmennetut tiedot

PHP on korjannut kaksi virhettä, jotka voivat mahdollistaa koodin suorittamisen ilman tunnistautumista. CERT-SE:n mukaan molemmat ovat CISA:n tunnettujen hyväksikäytettyjen haavoittuvuuksien luettelossa. PHP ilmoittaa korjaukset versioissa 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. [1, 2]

Ketä ongelma koskee?

PHP-pohjaisia verkkopalveluja ja PHP:tä sisältäviä tuotteita. Jakelu on voinut takaisinsovittaa korjauksen vaihtamatta PHP-projektin versionumeroon. Tarkista siksi juuri oman tuotteesi valmistajan tietoturvatiedote. [1]

Suositeltu toimintamalli

Jos päivitys viivästyy, CERT-SE suosittelee haavoittuvien, internetiin avointen PHP-sovellusten eristämistä. [2]

1. Luettele julkiset verkkopalvelut ja kysy ylläpitäjältä tai palveluntarjoajalta, mitkä niistä käyttävät PHP:tä.
2. Varmista asetukset ja palautustapa. Asenna tuotteen tukemalla päivitysmenetelmällä.
3. Lataa tarvittavat prosessit uudelleen valmistajan ohjeen mukaan ja testaa tärkeät toiminnot.
4. Tarkista lokit epäilyttävän toiminnan varalta. Korjaus ei todista, ettei aiempaa tietomurtoa ole tapahtunut.

Täydentävät ohjeet

PHP on täydentänyt session.upload_progress.enabled-asetusta koskevia ohjeita poikkeuksellisen sarjallistamisasetusten yhdistelmän vuoksi. Lue ajantasainen ohje ennen muutosta. Windowsin erilliset -1-paketit päivittävät myös Brotlin muuttamatta PHP:n ajonaikaista versionumeroa. [1]

Jos käytät webhotellia

Pyydä palveluntarjoajalta vahvistus sekä sivustosi että alustan PHP-komponenttien korjauksesta. Tallenna päivämäärä ja vastaus. Palvelinasetuksia ei yleensä tarvitse muuttaa itse.

Toteuta ja varmista korjaus

Käytännön suositus: älä muuta PHP-asetuksia sattumanvaraisesti puuttuvan korjauksen korvikkeeksi. Jos valmis tuote sisältää PHP:n, käytä sen tuettua päivityspolkua.

1. Varmista, mitä PHP-versiota verkkopalvelin tai sovellus todella käyttää. Komentorivin versiotieto voi koskea toista asennusta.
2. Asenna tuotetoimittajan korjatut paketit ja suorita ohjeessa vaadittu uudelleenlataus tai käynnistys.
3. Tarkista tämän jälkeen ajossa olevan palvelun paketti- tai versiotieto. Käytä valmistajan tiedotetta, jos korjaus on takaisinsovitettu.
4. Testaa kirjautuminen, tiedostojen lataus ja muut tärkeät toiminnot. Tallenna pakettiversio, testitulokset ja päivämäärä.

Tarvitsetko yhteisen toimintamallin?

Opas ”Haavoittuvuus löytyi – etene varmennettuun korjaukseen” kertoo, miten tarkistat, koskeeko ongelma sinua, valmistelet palautuksen ja varmistat tuloksen.