Pilny komunikat ministra cyfryzacji. Krytyczna luka w PHP, część stron BIP wyłączona

Centralny Ośrodek Informatyki czasowo wyłączył strony Biuletynu Informacji Publicznej – podało Ministerstwo Cyfryzacji. Wykryto bowiem krytyczne podatności w oprogramowaniu PHP, które mogą zagrażać bezpieczeństwu tysięcy serwisów internetowych w Polsce i na świecie. Konieczne jest, jak poinformowano, wprowadzenie niezbędnych zabezpieczeń. Komunikat w tej sprawie wydał wicepremier Krzysztof Gawkowski.

Krzysztof Gawkowski, zdj. Paweł Wodzyński /East News

Zespół CERT Polska ostrzega przed poważnymi lukami w oprogramowaniu PHP, które wykorzystywane jest przez ogromną liczbę stron internetowych, w tym popularne systemy zarządzania treścią, takie jak WordPress, Joomla czy WooCommerce. Jak czytamy w komunikacie Ministerstwa Cyfryzacji, „luki pozwalają atakującemu na zdalne wykonanie dowolnych poleceń systemowych poprzez błędy w mechanizmie zarządzania pamięcią”.

Podatności dotyczą wszystkich wersji PHP od 5.4 wzwyż. Eksperci nie mają wątpliwości – zagrożenie jest realne i poważne. „Jedyną skuteczną metodą ochrony przed wykorzystaniem podatności jest instalacja poprawionej wersji PHP” – podkreśla Ministerstwo Cyfryzacji.

Część stron BIP czasowo wyłączona

W związku z wykrytymi lukami Centralny Ośrodek Informatyki zdecydował o czasowym wyłączeniu stron Biuletynu Informacji Publicznej działających w Systemie Scentralizowanego Dostępu do Informacji Publicznej (SSDIP).

„SSDIP to system umożliwiający instytucjom publicznym prowadzenie stron Biuletynu Informacji Publicznej (BIP). Czasowa niedostępność, jak przekazano, dotyczy wyłącznie stron działających w serwisie http://ssdip.bip.gov.pl, a nie wszystkich stron BIP w Polsce” – informuje resort cyfryzacji.

Ministerstwo wyjaśnia, że czasowe wyłączenie serwisu „pozwoli wprowadzić niezbędne zabezpieczenia i zadbać o jego bezpieczne działanie”.

Pilne spotkanie centrum operacyjnego cyberbezpieczeństwa

W tej sprawie odbyło się już spotkanie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa. Jak poinformował minister cyfryzacji Krzysztof Gawkowski, „został przygotowany plan działań, który obecnie jest wdrażany”.

Resort apeluje do administratorów wszystkich serwisów korzystających z PHP o pilną instalację najnowszych, poprawionych wersji oprogramowania. W przypadku wykrycia śladów wykorzystania podatności należy niezwłocznie skontaktować się z zespołem CERT Polska za pomocą formularza dostępnego na stronie http://incydent.cert.pl.

Problemy nie tylko w Polsce

Już w środę strony internetowe instytucji rządowych w kilku państwach w Europie i poza nią zostały wyłączone po ujawnieniu krytycznych luk w zabezpieczeniach PHP. Rządowe witryny zamknięto m.in. w Finlandii, Holandii, ale także w Japonii i Australii. W środę część osób nie miała dostępu do części Wikipedii.