PHP kritisko ievainojamību dēļ ierobežo piekļuvi Latvijas resursiem no ārvalstīm

PHP programmēšanas valodā globālā līmenī atklāto kritisko drošības ievainojamību dēļ vairākiem Latvijas digitālajiem resursiem uz laiku ir ierobežota piekļuve no ārvalstīm, informē kiberincidentu novēršanas institūcijā "Cert.lv".

Piekļuve ierobežota apzināti un mērķtiecīgi, lai pasargātu valsts informācijas sistēmas no iespējamiem kiberuzbrukumiem. Kā norāda "Cert.lv", "šie preventīvie drošības pasākumi tiks piemēroti selektīvi, lai mazinātu apdraudējumu un nodrošinātu drošības atjauninājumu savlaicīgu ieviešanu".

Paredzams, ka iedzīvotājus, kuri valsts digitālajiem pakalpojumiem piekļūst no Latvijas, šie ierobežojumi neietekmēs. Savukārt ārvalstīs esošajiem piekļuves ierobežojumi varētu būt spēkā līdz pirmdienai, 26. oktobrim, atkarībā no drošības atjauninājumu ieviešanas gaitas.

"Cert.lv" rīcībā patlaban nav ziņu, ka Latvijā kāda informācijas sistēma būtu kompromitēta, izmantojot minētās ievainojamības.

PHP programmēšanas valodā atklātas divas kritiskas drošības ievainojamības, kas varētu ļaut uzbrucējam izpildīt komandas sistēmā bez iepriekšējas autentifikācijas.

Šīs ievainojamības identificētas kā CVE-2026-109618 un CVE-2026-109619. Abām nopietnības novērtējums ir 9,2 no 10 saskaņā ar standartu CVSS v4.0. Pamatojoties uz pašreizējo informāciju, šo ievainojamību izmantošana varētu ļaut neautentificētam uzbrucējam izpildīt jebkuras komandas skartajā sistēmā.

PHP drošības komanda paziņoja, ka drošības labojumus izlaidīs trešdien plkst. 17 pēc Latvijas laika.

Kā informēja "Cert.lv", PHP izstrādātāji ir publicējuši arī ieteikumus ievainojamību ietekmes mazināšanai neatbalstītās programmatūras versijās, tomēr šie pasākumi tikai daļēji ierobežo iespējamos uzbrukumu veidus un neaizstāj drošības atjauninājumus. Sistēmām, kuras nav iespējams atjaunināt uz drošu PHP versiju, ir jāierobežo piekļuve no interneta, nepieļaujot to publisku pieejamību līdz drošības risku novēršanai.

Arī privātā sektora uzņēmumi tiek aicināti nekavējoties pārbaudīt savas sistēmas un uzstādīt pieejamos drošības atjauninājumus. Īpaša uzmanība jāpievērš publiski pieejamām mājaslapām, interneta veikaliem, klientu portāliem un citām biznesam kritiskām sistēmām. Uzņēmumiem nepieciešams sazināties ar saviem informācijas tehnoloģiju uzturētājiem vai hostinga pakalpojumu sniedzējiem, lai pārliecinātos par izmantotajām PHP versijām un nepieciešamo atjauninājumu ieviešanu.

"Cert.lv" uzsver, ka kritisku ievainojamību gadījumā būtiska ir savlaicīga un koordinēta rīcība. Preventīvi piekļuves ierobežojumi ir pagaidu aizsardzības pasākums, savukārt operatīva drošības atjauninājumu uzstādīšana ir būtiska gan valsts, gan privātā sektora informācijas sistēmu drošībai un digitālo pakalpojumu nepārtrauktībai, pausts kiberincidentu novēršanas institūcijas paziņojumā.

PHP tiek plaši izmantots mājaslapu veidošanai, tādējādi šīs ievainojamības rada būtisku risku lielam skaitam sistēmu.

Kā novēroja LETA, reaģējot uz minēto apdraudējumu, lai izvairītos no iespējamiem riskiem, visā pasaulē uz laiku ir apturēta atsevišķu mājaslapu darbība.

Latvijā uz laiku apturēta Latvijas Radio mājaslapas, mobilās lietotnes un Latvijas Sabiedriskā medija portāla "Lsm.lv" darbība.

Tāpat pieņemts lēmums uz laiku apturēt piekļuvi tīmekļvietņu vienotajai platformai (TVP), lai pasargātu to no iespējamiem kiberuzbrukumiem, informēja Ministru kabineta preses sekretāre Laura Krastiņa.

Līdz ar piekļuves apturēšanu TVP kā Latvijā, tā arī ārvalstīs nav pieejama virkne Latvijas valsts un pašvaldību iestāžu mājaslapu.