32 usługi rządowe niedostępne przez lukę w PHP – Downing Street zapewnia, że systemy nie zostały zhakowane

W czwartek 22 października 32 usługi brytyjskiego rządu były niedostępne, a cztery kolejne działały tylko częściowo w związku z globalnym problemem bezpieczeństwa w języku programowania PHP. Jak podaje nadawca publiczny BBC, poinformowała o tym w Izbie Lordów wiceminister w ministerstwie kultury, mediów i sportu baronessa Lloyd of Effra. Downing Street (siedziba premiera) zapewnia, że nie ucierpiały żadne duże usługi publiczne o krytycznym znaczeniu, a wyłączenia nie oznaczają, że systemy zostały zhakowane. Na całym świecie firmy, organizacje i rządy usuwają lukę, która może dotyczyć milionów stron internetowych.

Wyłączenia jako środek ostrożności

Jak wyjaśniła baronessa Lloyd of Effra, niedostępność usług rządowych „w dużej mierze wynika” ze środków ostrożności, które mają chronić systemy w czasie wgrywania aktualizacji i zabezpieczeń. Zalecenie brzmi: najpierw zabezpieczyć, potem przywrócić usługi, i resort robi to możliwie najszybciej.

Według wiceminister rząd działał z wyprzedzeniem, zanim informacja o luce stała się publiczna. Ministerstwa zostały ostrzeżone i poproszone o wskazanie systemów, które mogą być zagrożone, ocenę ryzyka i przygotowanie aktualizacji. Narodowe Centrum Cyberbezpieczeństwa (National Cyber Security Centre) wysłało 50 000 ostrzeżeń do firm i innych organizacji z informacją, co powinny zrobić.

Rząd nadal uważnie monitoruje sytuację i współpracuje z ministerstwami, by utrzymać bezpieczeństwo i dostępność usług publicznych – powiedziała baronessa Lloyd of Effra.

Downing Street nie podaje listy usług

Rzeczniczka Downing Street przekazała, że niektóre usługi rządowe „mogą być czasowo niedostępne” w czasie prac nad zabezpieczeniami, ale nie wskazała, o które chodzi. Jak zaznaczyła, podawanie listy takich usług nie jest „standardową praktyką”. Według rzeczniczki eksperci rządowi współpracują w tej sprawie z firmą OpenAI i partnerami międzynarodowymi.

„To nie znaczy, że zostały zhakowane, a prace nad rozwiązaniem problemów trwają” – podkreśliła.

Problemy z systemem przeglądów MOT

Skutki odczuli też przedsiębiorcy. Właściciel warsztatu w Chepstow w południowej Walii powiedział BBC, że od środy 21 października rano nie mógł normalnie rejestrować przeglądów technicznych MOT w systemie internetowym. Przeglądy można było wykonywać i były ważne, ale nie dało się drukować dokumentów ani zaświadczeń, więc wszystko trzeba było wypełniać na papierze. Strona agencji DVSA, która prowadzi system MOT, informowała o awarii od środy około południa, nie wspominając wprost o PHP. W czwartek agencja poinformowała, że problem został rozwiązany.

Najpoważniejsza luka, jaką widział badacz

PHP to język programowania, na którym działa ogromna liczba stron internetowych. Luki odkryto wcześniej w tym roku z pomocą sztucznej inteligencji i od tego czasu przygotowywano poprawkę, ale informacja o nich wyciekła, więc aktualizację trzeba było wydać w pośpiechu. Ryan Austin z firmy Calif, który pomógł zidentyfikować lukę, powiedział BBC, że to „najpoważniejsza” podatność, jaką kiedykolwiek znalazł, choć na razie nic nie wskazuje, by hakerzy skutecznie ją wykorzystali.

Firma Cloudflare, która zapewnia infrastrukturę internetową, odnotowała „miliony” prób włamań przez tę lukę, ale bez dowodów, że któreś się powiodły. Według firmy Wiz problem dotyczy „około 70 procent” internetu, a jeden z ekspertów ocenił, że może chodzić nawet o 30 milionów stron.