Podle zprávy Nextgov/FCW Cloudflare nahlásil miliony pokusů o zneužití nově odhalených zranitelností v PHP, široce používaném webovém softwaru. Výzkumníci také varovali, že kompromitované weby mohou ohrozit své návštěvníky, nejen lidi, kteří je provozují. Pokud vás zajímá, co by návštěvníci měli dělat v souvislosti se zranitelností PHP, krátká odpověď zní, že nemůžete opravit cizí server, ale můžete omezit, co útočník získá, pokud je vámi používaný web kompromitován.

Dosud dostupné podrobnosti jsou omezené, proto se tento článek drží toho, co bylo nahlášeno, a obecných ochranných postupů.

Co Cloudflare pozoruje u pokusů o zneužití PHP

Podle zprávy Cloudflare zaznamenal miliony pokusů o zneužití zranitelností PHP. Zpravodajství také popisuje celosvětové úsilí o zavedení oprav. Tato kombinace je běžná poté, co je široce používaný software zasažen veřejným odhalením: útočníci prohledávají internet kvůli serverům, které ještě nebyly aktualizovány, a administrátoři závodí s časem při aplikaci záplat.

PHP je serverový jazyk, což znamená, že běží na webovém serveru, nikoli na vašem zařízení. To je důležité, protože to určuje, kdo musí jednat. Vlastníci webů a poskytovatelé hostingu musí aplikovat aktualizace. Návštěvníci to za ně udělat nemohou.

Náš dřívější vysvětlující článek o zranitelnosti PHP odhalené 22. října pokrývá, jak tento jazyk podpírá velký podíl webu a proč o něm většina lidí před zveřejněním zpráv nikdy neslyšela.

Jak kompromitovaný PHP web může ohrozit návštěvníky

Výzkumníci citovaní ve zprávě varovali, že kompromitované weby mohou ohrozit také lidi, kteří je navštěvují. Ačkoli konkrétní útočné cesty pro tyto zranitelnosti nejsou v shrnutí, které máme k dispozici, podrobně popsány, existují obecné způsoby, jak může unesený web ovlivnit uživatele:

  • Krádež přihlašovacích údajů: Pokud útočník ovládá web, může být schopen zachytit uživatelská jména a hesla zadaná do jeho přihlašovací stránky.
  • Odhalení dat z formulářů: Kontaktní formuláře, stránky pokladny a registrační formuláře mohou být upraveny tak, aby to, co zadáte, odesílaly někomu jinému.
  • Škodlivá přesměrování nebo stahování: Kompromitovaný web může být upraven tak, aby návštěvníky směroval na škodlivé stránky nebo soubory, což může ohrozit vaše zařízení.

Nic z toho neznamená, že každý PHP web je nebezpečný. Většina webů bude záplatována a mnohé nikdy nebyly zranitelné. Pointa je, že slabým článkem může být server, o kterém jste nikdy nepřemýšleli, takže je užitečné s touto možností počítat.

Co VPN dokáže a co nedokáže proti serverovým zranitelnostem

VPN šifruje spojení mezi vaším zařízením a serverem VPN a skrývá vaši IP adresu před weby, které navštěvujete. To je užitečné na veřejných Wi-Fi sítích a pro omezení některého sledování.

Neopravuje však zranitelnost na serveru webu. Pokud byl web, který navštěvujete, kompromitován, váš provoz stále dorazí na tento web a vše, co tam odešlete, může stále vidět ten, kdo jej ovládá. VPN vám také nezabrání zadat heslo do pozměněného přihlašovacího formuláře. Berte ji jako jednu vrstvu ochrany soukromí, nikoli jako obranu proti serverové chybě.

Co to znamená pro vás

Pravděpodobně nemůžete poznat, které weby provozují zranitelné verze PHP, a ani nemusíte. Důležité je snížit škody, pokud je vámi používaný web napaden. Hlavními riziky jsou opakovaně používaná hesla, účty bez druhého ověřovacího kroku a opožděné zjištění, že vaše informace byly odhaleny. Každé z toho je něco, co můžete ovlivnit již dnes.

Praktické kroky k ochraně, zatímco weby aplikují záplaty

  1. Používejte jedinečné heslo pro každý účet. Správce hesel to činí realistickým. Pokud jeden web unikne vaše heslo, škody se zastaví tam.
  2. Zapněte dvoufázové ověřování (2FA). I když je heslo zachyceno, druhý faktor ztěžuje jeho použití. Ověřovací aplikace nebo hardwarové klíče jsou obecně silnější než textové zprávy.
  3. Buďte opatrní u citlivých formulářů. Vyhněte se zadávání platebních nebo osobních údajů na webech, které vypadají neobvykle, načítají se zvláštně nebo se chovají jinak než dříve.
  4. Udržujte svůj prohlížeč a operační systém aktualizované. To snižuje pravděpodobnost, že škodlivá stránka zneužije známou slabinu ve vašem zařízení.
  5. Sledujte oznámení o únicích dat. Pokud vám společnost sdělí, že byla zasažena, rychle změňte heslo a zkontrolujte aktivitu účtu.
  6. Používejte VPN k tomu, k čemu je dobrá. Pomáhá na nedůvěryhodných sítích, ale nespoléhejte na ni jako na kompenzaci kompromitovaného webu.

Shrnutí

Nahlášený nárůst pokusů ukazuje, jak rychle útočníci jednají, jakmile se zranitelnosti stanou veřejnými, a jak velká část webu závisí na softwaru, který jeho návštěvníci nikdy nevidí. Nejlepší odpovědí na otázku, co by návštěvníci měli dělat v souvislosti se zranitelností PHP, je učinit ukradené přihlašovací údaje méně užitečnými: jedinečná hesla, 2FA a pozornost vůči upozorněním na úniky dat. Pro stručný kontrolní seznam si přečtěte náš průvodce o pěti způsobech, jak zůstat online v bezpečí po zranitelnosti PHP a zaveďte tyto kroky, zatímco vlastníci webů procházejí své záplaty.