Luki w PHP zagrożeniem dla serwisów publicznych – wyłączone strony

Centralny Ośrodek Informatyki czasowo wyłączył część stron Biuletynu Informacji Publicznej po wykryciu luk w oprogramowaniu PHP. Ministerstwo Cyfryzacji zapewnia, że przerwa obejmuje wyłącznie serwis SSDIP, a minister Krzysztof Gawkowski informuje o wdrażaniu planu działań.

Część stron BIP wyłączona z powodu luk w PHP

Centralny Ośrodek Informatyki podjął decyzję o czasowym wyłączeniu części stron Biuletynu Informacji Publicznej. Powodem są podatności wykryte w oprogramowaniu PHP, które zostały zidentyfikowane przez zespół CERT Polska. Ministerstwo Cyfryzacji poinformowało o tym w czwartek.

Wyłączenie obejmuje wyłącznie strony działające w Systemie Scentralizowanego Dostępu do Informacji Publicznej, dostępnym pod adresem ssdip.bip.gov.pl. Resort podkreślił, że niedostępność nie dotyczy wszystkich stron BIP funkcjonujących w Polsce.

Na czym polega zagrożenie w oprogramowaniu PHP

Zgodnie z komunikatem opublikowanym przez Ministerstwo Cyfryzacji w serwisie X, wykryte luki pozwalają atakującemu na zdalne wykonanie dowolnych poleceń systemowych. Przyczyną są błędy w mechanizmie zarządzania pamięcią. Podatność dotyczy wszystkich wersji PHP od 5.4 wzwyż.

Zagrożenie obejmuje nie tylko sam język programowania PHP, ale również popularne systemy i platformy, które go wykorzystują, takie jak WordPress, Joomla czy WooCommerce. Oznacza to, że problem może dotyczyć szerokiego spektrum serwisów internetowych na całym świecie.

Jak się chronić przed podatnością PHP

Ministerstwo Cyfryzacji wskazało, że jedyną skuteczną metodą ochrony przed wykorzystaniem wykrytych podatności jest instalacja poprawionej wersji oprogramowania PHP. Resort zaapelował jednocześnie, aby administratorzy systemów, którzy wykryją ślady wykorzystania luki, zgłaszali ten fakt do CERT Polska za pomocą formularza dostępnego na stronie tej instytucji. Na stronach CERT Polska na bieżąco publikowane są informacje i rekomendacje dotyczące zagrożenia.

Minister Gawkowski: plan działań jest wdrażany

Do sprawy odniósł się minister cyfryzacji Krzysztof Gawkowski. Poinformował, że w związku z wykryciem luk odbyło się spotkanie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa. Minister przekazał, że został przygotowany plan działań, który jest już wdrażany.

Ministerstwo Cyfryzacji wyjaśniło, że czasowe wyłączenie serwisu SSDIP ma umożliwić wprowadzenie niezbędnych zabezpieczeń i zapewnić jego bezpieczne działanie w przyszłości. SSDIP to system, który umożliwia instytucjom publicznym prowadzenie własnych stron Biuletynu Informacji Publicznej.