CVE-2024-4577: u PHP záleží i na konfiguraci

Zpráva o chybě PHP neznamená, že je stejným způsobem ohrožen každý PHP web. Rozhoduje operační systém, režim spouštění, konfigurace a stav bezpečnostních oprav.

Co popisuje CVE-2024-4577

Zranitelnost z roku 2024 se týká dotčených nasazení PHP-CGI ve Windows a zpracování argumentů. Při zasažené konfiguraci může umožnit vzdálené spuštění PHP kódu. Nelze ji proto automaticky přenést na každý server s PHP ani na libovolné nasazení Linuxu. CISA ji v červnu 2024 zařadila mezi aktivně zneužívané zranitelnosti a eviduje i její použití v ransomwarových kampaních.

Historické opravné verze v příslušných větvích byly 8.1.29, 8.2.20 a 8.3.8. Tato čísla nejsou doporučením pro aktuální nasazení. Dnes je třeba ověřit podporovanou větev a všechny následné bezpečnostní opravy.

Co musí správce vědět o prostředí

Inventář má obsahovat operační systém, způsob obsluhy PHP, konkrétní weby a pooly, původ balíčků i odpovědnost za aktualizace. Tato informace umožní vyhodnotit nové upozornění bez paniky i bez zlehčování.

• Kde běží produkční web a kde jeho testovací verze?
• Jaký režim PHP používá každé prostředí?
• Kdo dodává balíčky a případné zpětné opravy?
• Kdy proběhla poslední aktualizace a funkční kontrola?

Reakce na bezpečnostní upozornění

Nejprve ověřte, zda se oznámení týká vašeho nasazení. Potom určete prioritu podle dostupnosti služby, citlivosti dat a podmínek zneužití. Změnu proveďte s připravenou zálohou a následnou kontrolou aplikace. Záznam o zásahu pomůže i při dalším incidentu.

Pokud se ukáže, že prostředí je dlouhodobě nepodporované, jednorázová oprava jako strategie nestačí. Potřebujete plán modernizace a člověka, který ho dotáhne.

Jednoduchá otázka pro dodavatele

Požádejte o přehled používaných technologií a způsob posuzování zranitelností. Už samotná schopnost odpovědět ukáže, zda máte správu prostředí pod kontrolou, nebo jen doufáte, že se vás další zpráva nebude týkat.