Komisja Ochrony Informacji Osobistych ostrzega przed wyciekiem danych przez lukę w PHP

brown concrete building under white clouds during daytime — Alexandre Viard / Unsplash

Komisja Ochrony Informacji Osobistych wezwała instytucje publiczne oraz prywatne firmy do podjęcia pilnych działań zabezpieczających w związku z odkrytą luką w oprogramowaniu PHP o nazwie PHP2Shell.

Podatność ta, ujawniona 21 października, pozwala atakującym na wykonywanie złośliwych poleceń na serwerze WWW bez konieczności logowania lub uwierzytelniania. Istnieje obawa, że wykorzystanie tej luki może doprowadzić nie tylko do naruszenia serwera, ale także do masowego wycieku danych osobowych przechowywanych w połączonych bazach danych.

Szczególną uwagę zwrócono na środowiska, w których narzędzia do zarządzania bazami danych, takie jak phpMyAdmin, są wystawione na publiczny internet lub gdzie konta usług WWW posiadają nadmierne uprawnienia dostępu do baz danych. Organy nadzorcze zalecają sprawdzenie wersji systemów PHP, zastosowanie najnowszych łatek bezpieczeństwa oraz usunięcie nieużywanych usług WWW.

Zalecenia obejmują również ograniczenie bezpośredniego dostępu do narzędzi administracyjnych z internetu, aktualizację oprogramowania oraz przyznawanie kontom usług WWW minimalnych uprawnień niezbędnych do pracy. Ważne jest także monitorowanie logów dostępu w celu wykrycia nietypowych prób masowego pobierania danych.

Kontrole powinny objąć nie tylko systemy wewnętrzne, ale także środowiska hostingowe, systemy zarządzane przez zewnętrznych wykonawców oraz podmioty przetwarzające dane w imieniu firmy. Ministerstwo Nauki i ICT oraz Koreańska Agencja Internetu zalecają aktualizacje bezpieczeństwa, których szczegóły są dostępne w serwisie Boho Nara.