Luka w PHP zmusiła linie lotnicze i urzędy do wyłączania stron

Po ostrzeżeniu twórców języka PHP przed krytycznymi podatnościami, nazwanymi „php2shell”, firmy turystyczne i instytucje publiczne na świecie czasowo wyłączały swoje usługi online. Luki mogą pozwolić atakującemu przejąć kontrolę nad serwerem WWW bez znajomości hasła, dlatego tempo reakcji miało kluczowe znaczenie.

Na czym polega zagrożenie

Agencje cyberbezpieczeństwa zaleciły organizacjom natychmiastowe zainstalowanie poprawek. Jeśli nie było to możliwe, rekomendowały wyłączenie witryny. PHP napędza szacunkowo 70% stron internetowych na świecie, także serwisy administracji publicznej, marek turystycznych i organizacji promujących regiony oraz miasta.

Skala prób ataku jest duża. Prezes Cloudflare Matthew Prince przekazał, że firma wykryła miliony prób wykorzystania luk. Urzędnicy w Niemczech, Holandii i Japonii informowali jednak, że nie widzą oznak szeroko zakrojonych, skutecznych ataków. Szef badań nad bezpieczeństwem w Orange Cyberdefense powiedział agencji Associated Press, że spodziewa się kolejnych zakłóceń, bo cyberprzestępcy nadal szukają podatnych systemów.

Kto wyłączył usługi

Środki ostrożności objęły m.in.:

All Nippon Airways – zawieszenie wybranych usług w serwisie i aplikacjach, w tym kart pokładowych w Apple Wallet;
Japan Airlines – wyłączenie części podstron;
East Japan Railway – wstrzymanie wybranych usług;
port w Rotterdamie – czasowa niedostępność serwisu;
belgijskie MSZ – chwilowo nie działał serwis z ostrzeżeniami dla podróżnych.

Były to działania zapobiegawcze, a nie reakcja na potwierdzone włamania.

Najbardziej narażeni są mali gracze

Największe ryzyko dotyczy mniejszych firm i organizacji, które nie utrzymują własnej infrastruktury i zlecają obsługę stron zewnętrznym dostawcom. Granicus Destinations tymczasowo wycofało dwa oparte na PHP dodatki używane przez organizacje promujące destynacje, w tym narzędzie do rezerwacji bezpośrednich. Adventure Travel Trade Association zwróciło uwagę, że wielu jej członków korzysta z systemów rezerwacji opartych na platformach takich jak WordPress. Organizacje branżowe radziły im naciskać na hostingodawców i dostawców oprogramowania, by szybko wdrażali poprawki.

Moment jest wyjątkowo niefortunny, ponieważ podróżni właśnie zaczynają rezerwować wyjazdy na kolejny sezon. Niedostępna lub przejęta strona oznacza dla małego biura podróży czy lokalnego organizatora utratę zamówień, a w gorszym scenariuszu także ryzyko wycieku danych klientów.

Co to oznacza dla polskich podróżnych i firm

Źródło opisuje przypadki z Japonii i Europy Zachodniej, nie wspomina o polskich firmach. PHP jest jednak powszechnie używane na całym świecie, a WordPress napędza wiele stron małych i średnich przedsiębiorstw, więc podobne ryzyko może dotyczyć także polskich biur podróży, pensjonatów czy lokalnych organizatorów atrakcji. Ponieważ luka ma charakter globalny, dotyczy to również użytkowników w Unii Europejskiej.

Dla podróżnych praktyczna rada jest prosta: zapisz potwierdzenia rezerwacji i karty pokładowe także poza aplikacją, na przykład jako plik w telefonie lub wydruk. Warto też sprawdzić w ogólnych warunkach ubezpieczenia turystycznego, co obejmuje ochrona w razie rezygnacji lub zmiany podróży z przyczyn niezależnych od klienta. Nie każda polisa pokrywa awarie systemów informatycznych przewoźnika.

Właściciele małych firm turystycznych powinni zapytać dostawcę hostingu i oprogramowania o status aktualizacji PHP i wtyczek, a przy okazji sprawdzić, czy ich ubezpieczenie od ryzyk cyber (jeśli je mają) obejmuje przerwę w działaniu strony i incydenty z danymi klientów. Wiele takich polis wymaga od ubezpieczonego dbałości o bieżące aktualizacje, dlatego zaniedbania mogą wpłynąć na wypłatę odszkodowania.

Źródło: Skift – „Travel Companies and DMOs Work to Patch Critical PHP Flaws”