PHP-haavoittuvuudet: onko meille murtauduttu ja miten sen voi selvittää?

PHP-ohjelmistosta löytynyt kriittinen haavoittuvuus sai organisaatiot eri puolilla Eurooppaa sulkemaan verkkopalvelujaan. Kokosimme yhteen, mitä oikeasti tapahtui, miksi näin pääsi käymään ja mitä organisaatioiden tulee jatkossa huomioida.

Keskiviikkona 21. lokakuuta valtionhallinnon, kaupunkien, julkisten toimijoiden ja verkkokauppojen verkkopalveluja suljettiin Suomessa ja muualla Euroopassa muutaman tunnin sisällä toisistaan. Suomessa muun muassa Valtori sulki valtionhallinnon julkisen internetin palveluja ja esimerkiksi Maanmittauslaitoksen ja usean kaupungin sivut olivat poissa käytöstä. Syy ei ollut tietomurto, vaan palvelut suljettiin varotoimena niiden suojaamiseksi.

Taustalla on vakava haavoittuvuus PHP:ssä, eli ohjelmointikielessä, jonka varassa toimii suurin osa maailman verkkosivuista. Sivuston käyttäjä ei näe PHP:ta, mutta se tekee verkkosivusta toimivan palvelun: se käsittelee muun muassa kirjautumistietoja, ostoskoreja, lomakkeita ja luo yhteyden taustalla olevaan tietokantaan. PHP2Shell-nimellä tunnettu haavoittuvuus voi antaa hyökkääjälle mahdollisuuden ottaa verkkopalvelin haltuunsa ilman salasanaa. Koska tiedot haavoittuvuudesta vuotivat julkisuuteen ennen korjauksen valmistumista, viranomaiset useissa maissa suosittelivat haavoittuvien palvelujen sulkemista siihen asti, kunnes ne saadaan päivitettyä.

Haavoittuvuuksia löydetään jatkuvasti, mutta useimmat niistä koskevat yksittäistä tuotetta tai yritystä. Tämä vakava haavoittuvuus oli ohjelmistossa, jota miljoonat verkkosivustot maailmanlaajuisesti käyttävät, joka teki tilanteesta erityisen vakavan.

Korjaava päivitys julkaistiin myöhemmin keskiviikkona. Moni palvelu on jo palannut käyttöön, mutta osan palauttaminen päivitysten myötä voi kestää päiviä tai jopa viikkoja.

Tekoäly löysi vuosia piilossa olleen vian

Tietoturvayhtiöiden Califin ja Wizin sekä OpenAI:n tutkijat löysivät haavoittuvuuden elokuussa tekoälytyökalujen avulla osana OpenAI:n hanketta, jossa etsitään heikkouksia laajasti käytetyistä ohjelmistoista. Ongelma oli ollut PHP:ssä vuosia, mutta sen hyödyntämistä pidettiin liian monimutkaisena, kunnes tekoäly teki työstä huomattavasti helpompaa. Tarkoitus oli julkaista tieto haavoittuvuudesta yhtä aikaa korjauksen kanssa, mutta tieto vuoti julkisuuteen ennen kuin korjaus oli valmis.

Samat tekoälytyökalut auttavat nyt sekä tutkijoita että hyökkääjiä löytämään haavoittuvuuksia aiempaa nopeammin. On selvää, että löydösten määrä tulee kasvamaan entisestään, joten organisaatioiden kannattaa varmistaa, että ne pystyvät reagoimaan nopeasti, kun seuraava tapaus tulee.

Organisaatiot ovat tällä viikolla kysyneet meiltä samoja kysymyksiä:
Koskeeko tämä meitä?

Jos organisaatiossanne on käytössä mitä tahansa PHP:lla rakennettua, oletusarvoisesti kannattaa olettaa, että koskee, kunnes asia on tarkistettu. Vaikeinta on tietää, missä kaikkialla PHP:ta käytetään. Harvoin kyse on vain julkisesta verkkosivusta, sillä PHP voi toimia myös sisäisissä sovelluksissa, verkkokaupassa, intranetissä tai palveluntoimittajalta hankitussa ohjelmistossa, jota ette voi itse päivittää.

Useimmat organisaatiot osaavat korjata haavoittuvan komponentin, kun tietävät, missä se sijaitsee. Varsinainen ongelma onkin näkyvyys, sillä moni yritys ei yksinkertaisesti tiedä, missä kyseinen komponentti sijaitsee.

Onko meihin jo murtauduttu?

Viikon kysytyin kysymys, eikä päivityksen asentaminen vastaa kysymykseen. Hyökkääjät yrittivät hyödyntää haavoittuvuutta jo ennen korjauksen julkaisua, joten keskiviikkona päivitetty järjestelmä on voinut joutua kohteeksi jo aiemmin. Jos organisaatiollanne ei ole jatkuvaa tietoturvavalvontaa, pyytäkää IT- tai palveluntarjoajaanne tarkistamaan järjestelmänne poikkeavan toiminnan varalta viime viikkojen ajalta.

NetNordicin Kyberturvavalvomo on valvonut asiakkaidemme ympäristöjä yli kymmenen vuoden ajan. Sen ansiosta näemme, missä valvomiemme järjestelmien haavoittuvat PHP-komponentit sijaitsevat ja onko niissä tapahtunut jotain poikkeavaa. Vuosien aikana olemme nähneet useita tapauksia, joissa hyökkääjät ovat hyödyntäneet laajasti käytetyn ohjelmiston haavoittuvuutta massamittaisesti ja siksi valvontamme on rakennettu tunnistamaan myös tämänkaltaiset verkkosovellusten haavoittuvuuksiin kohdistuvat hyökkäykset.

Mitä meidän pitäisi tehdä seuraavaksi?

Tarkat toimenpiteet riippuvat toimintaympäristöstänne, mutta prosessi on kaikille sama:

• Selvittäkää, missä kaikkialla PHP:ta mahdollisesti käytetään, myös sisäisissä järjestelmissä ja toimittajien ohjelmistoissa.
• Päivittäkää korjattuun versioon. PHP-projekti ei enää päivitä vanhempia versioita (PHP 8.1 ja vanhemmat), mutta monet käyttöjärjestelmä- ja palveluntarjoajat ovat julkaisseet niihin korjatut versiot. Jos sellaista ei ole saatavilla, edessä on laajempi versiopäivitys.
• Käynnistäkää uudelleen kaikki PHP:ta käyttävät palvelut, jotta vanha, haavoittuva koodi ei ole enää käytössä.
• Kysykää toimittajiltanne, onko heidän toimittamansa ohjelmistot päivitetty.
• Tarkistakaa, näkyykö järjestelmissänne merkkejä aiemmasta tietomurrosta, aloittaen internetiin kytkeytyneistä järjestelmistä.

Miksi osa sivustoista on yhä alhaalla?

Mitä pidempään palvelu on poissa käytöstä, sitä suurempi työ sen takana yleensä on. Pitkät huoltokatkot kertovat useimmiten vanhentuneista ohjelmistoversioista ja suuresta määrästä tekemättömiä päivityksiä, eli kertynyt tekninen velka tulee näkyviin.

Kirjoittaja