Дві критичні уразливості: PHP під патчі, TLS-сертифікати eMudhra відкликані
Сьогодні мають вийти патчі для двох критичних дір у PHP, а окрема історія зі скомпрометованими TLS-сертифікатами eMudhra змушує адміністраторів терміново перевіряти інфраструктуру.
Розробники PHP готують реліз виправлень для двох критичних уразливостей із рейтингом 9,2/10; вихід очікується сьогодні о 14:00 UTC (10:00 ET), а за потреби патч можуть опублікувати раніше. Паралельно інцидент із TLS-сертифікатами eMudhra створює ризики для VPN, IoT і низки клієнтів.
Що відомо про уразливості в PHP
За даними розробників PHP, усім користувачам радять оновитися «одразу після виходу релізу». Компанія watchTowr повідомляє, що йдеться про Remote Code Execution, який впливає на всі версії починаючи з PHP 5 і може дати зловмисникам змогу виконувати свій код на сервері.
Wordfence попереджає: уразливими є всі сайти на WordPress, адже вони працюють на серверах із PHP, а автоматично встановити виправлення не вдасться — потрібне ручне оновлення PHP. Дослідники Sansec очікують «масових атак протягом 15 хвилин після релізу», тоді як CTO Cloudflare Dane Knecht говорить про ранні спроби атак і тимчасове оновлення правил брандмауера.
Європейська команда реагування на комп’ютерні інциденти та британський NCSC радять, якщо оновлення неможливе негайно, ізолювати публічні застосунки або тимчасово вимкнути їх. GrapheneOS тимчасово відключила форум користувачів через появу proof-of-concept експлойтів. Один із дослідників оцінює, що під загрозою можуть бути понад 1,3 млн інтернет-хостів.
Проблема з TLS: скомпрометовані сертифікати eMudhra
За повідомленнями Engadget, індійська eMudhra відкликала вісім своїх проміжних сертифікатів CA, які «ланцюжаться» до коренів, що довіряються Mozilla, Microsoft, Apple і програмі коренів Chrome та іншим сховищам довіри. Приватні ключі виявилися надслабкими й могли дозволяти підробку доменних сертифікатів і перехоплення трафіку.
Посилаючись на Hacker News та інші звіти, Engadget зазначає, що ентропія ключів була вкрай низькою (еквівалент приблизно 3–8 біт); перелічені значення: 4, 56, 66, 115, 155, 156, 230 і 237 — що робить можливим перебір до 256 варіантів. Mozilla, Google і Apple вже заблокували ці сертифікати у своїх браузерах, але експерт Mozilla Dennis Jackson попереджає: окремі клієнти, зокрема утиліта в macOS, можуть і далі довіряти їм через відсутність перевірки відкликання. eMudhra звинувачує скрипт генерації ключів і заявляє про їх відкликання.
Найбільші ризики зараз — для VPN, особливо в юрисдикціях із активним перехопленням трафіку, а також для IoT-пристроїв і занедбаних серверів. За словами криптоінженера Filippo Valsorda (цитата в Ars Technica), «це буде масштабне прибирання, більше за Heartbleed».
Що робити адміністраторам
- Негайно встановити патчі PHP після релізу; якщо це неможливо — ізолювати або тимчасово відключити публічні сервіси.
- Перевірити довірчі ланцюги TLS, статуси відкликання та замінити скомпрометовані сертифікати eMudhra; протестувати клієнтські програми, які не перевіряють статус відкликання сертифікатів.
- Моніторити журнали на спроби RCE, застосувати тимчасові правила WAF і підготувати план відновлення.
