Polskie strony Biuletynu Informacji Publicznej wracają do działania po tym, jak 22 października prewencyjnie je wyłączono z powodu krytycznych luk w języku programowania PHP. Centralny Ośrodek Informatyki przywraca dostępność etapami, ale eksperci ostrzegają, że załatanie systemów nie zamyka sprawy, a atakujący mogli wykorzystać podatności jeszcze przed ich publicznym ujawnieniem.
Dwie krytyczne luki w PHP, ujawnione 21 października, dotyczą około trzech czwartych stron internetowych, które korzystają z tego języka. W reakcji na zagrożenie poza Polską swoje publiczne serwisy wyłączyły m.in. Finlandia, Holandia, Niemcy, Belgia i Francja, a komunikat wydał także wicepremier Krzysztof Gawkowski, jak relacjonuje RMF24.
COI przywraca strony etapami
Centralny Ośrodek Informatyki poinformował w piątek, 23 października, że stopniowo przywraca dostępność stron BIP działających w systemie SSDIP. Obywatele mogą ponownie przeglądać wcześniej opublikowane informacje, ale niektóre funkcje wyszukiwania oraz publikacja nowych treści pozostają wyłączone.
„Dostępność przywracamy etapami, aby zapewnić bezpieczne działanie systemu. Dziękujemy za wyrozumiałość” – oświadczył COI.
Podczas konferencji prasowej w Ministerstwie Cyfryzacji dyrektor COI Radosław Maćkiewicz wyjaśniał, że strony rządowe w domenie gov.pl działały bez przerwy, ponieważ zostały wcześniej przeniesione na najnowsze technologie. Serwis BIP wyłączono, bo potrzebował czasu na przygotowanie bezpiecznych aktualizacji.
„Dynamiczny rozwój modeli AI sprawia, że znacznie szybciej znajduje się podatności, które można wykorzystać. Realizujemy zadania publiczne i dla nas najważniejszym priorytetem jest bezpieczeństwo usług i danych użytkowników” – powiedział Maćkiewicz, cytowany przez wnp.pl.
Stary system i zaniedbane aktualizacje
Eksperci nie mają złudzeń co do przyczyn problemu. Tomasz Rychter, CTO i były dyrektor Pionu Innowacji i Jakości w COI, przypomina, że BIP to bardzo stary system. Jego zdaniem sytuacja pokazała, które organizacje nadążają za rzeczywistością, a które wciąż tkwią „w epoce kamienia łupanego”.
„Firmy, które mają dobrze przygotowany proces CI/CD, poczekały na łatki, wgrały je, uruchomiły testy, wdrożyły nową wersję i wszystko działa. Natomiast organizacje, w których panuje bałagan, mają później problem: nie wiedzą, co zrobić ani jak tym wszystkim zarządzić” – ocenia Rychter.
Jego zdaniem świat się nie zawalił z powodu wyłączenia BIP, ale brak szybkiej aktualizacji świadczy o tym, że państwo nie dba o utrzymanie i rozwój systemów, wbrew deklaracjom o ważności cyberbezpieczeństwa. To gorzka uwaga, która powinna zabrzmieć w uszach decydentów. Suwerenne państwo, które chce chronić swoich obywateli, nie może pozwolić sobie na zaniedbania w infrastrukturze informacyjnej.
Załataniu systemu nie wystarczy
Michał Zdunowski, CEO IS Consulting, zwraca uwagę, że przy tak krytycznej podatności nie ma skutecznej ochrony prócz załatanie. Potwierdził to sam producent. Środki techniczne, jak Web Application Firewall, pomagają tylko tymczasowo.
„To jak zabicie deskami wybitego okna: może i utrudni włamywaczowi wejście, ale dziura w ścianie zostaje. Kupujemy w ten sposób czas, nie bezpieczeństwo” – mówi Zdunowski.
Eksperci podkreślają, że samo wgranie poprawki nie kończy walki z zagrożeniem. Próby ataku odnotowano jeszcze przed publicznym ujawnieniem luki, a jeden z jej wariantów pozwala wykraść dane z pamięci serwera bez pozostawiania typowych śladów. Dlatego trzeba sprawdzić systemy pod kątem śladów kompromitacji i rozważyć zmianę haseł oraz kluczy, które mogły już wyciec.
„Trzeba wyjść z założenia, że część szkody mogła się już wydarzyć, zanim zdążyliśmy zareagować” – przestrzega Zdunowski.
Luka jak otwór wentylacyjny
Według RP.pl luki w PHP, języku wykorzystywanym przez niemal 70 procent witryn na świecie, wykryła sztuczna inteligencja. Tomas Stamulis, dyrektor ds. bezpieczeństwa w firmie Surfshark, zauważa, że podatność pozostawała niezauważona ponad dekadę, dopóki AI nie rozpoznała w niej drogi wejścia.
„Kiedy wychodzisz z domu, sprawdzasz, czy drzwi, okna i furtki są zamknięte. Większość ludzi nie sprawdza komina ani otworów wentylacyjnych. Luka PHP2Shell jest właśnie takim przeoczonym punktem wejścia” – mówi Stamulis. Jego zdaniem nie można wykluczyć, że cyberprzestępcy znaleźli te luki, zanim zostały publicznie ujawnione.
Maciej Broniarz, ekspert cyberbezpieczeństwa, zakłada, że przy obsłudze incydentów będzie trafiał na skutki tej podatności jeszcze za dwa lata. Jak zauważa Polskie Radio 24, poprawki są już dostępne, ale ich wdrożenie i sprawdzenie bezpieczeństwa serwerów może potrwać kilka dni.
Co dalej z polskim BIP
Rada dla firm i instytucji jest jasna: trzeba ustalić, kto odpowiada za aktualizacje, i sprawdzić, czy procesy wdrażania poprawek są rzeczywiście zautomatyzowane. Tomasz Rychter przestrzega, że jeśli wszystko opiera się na prowizorycznych rozwiązaniach i jednej osobie, która wie, jakich pięć skryptów trzeba uruchomić, organizacja ma poważny problem.
Tego typu sytuacji będzie coraz więcej, a koszty zaniedbań poniosą nie tylko urzędy, ale przede wszystkim obywatele, których dane są przechowywane w systemach państwowych. Sprawa luk w PHP powinna być przestrogą: bezpieczeństwo cyfrowe państwa to nie marketingowe hasło, lecz codzienna, żmuda praca.
Najczęstsze pytania o luki w PHP i strony BIP
Dlaczego wyłączono strony BIP w Polsce?
Strony Biuletynu Informacji Publicznej wyłączono prewencyjnie 22 października z powodu dwóch krytycznych luk w języku PHP, które umożliwiają przejęcie kontroli nad serwerem.
Kiedy strony BIP wrócą do pełnej dostępności?
Centralny Ośrodek Informatyki od 23 października stopniowo przywraca strony BIP; wcześniej opublikowane informacje są dostępne, ale część funkcji wyszukiwania i publikacji nowych treści wciąż jest wyłączona.
Czy załatanie systemu kończy zagrożenie?
Nie. Eksperci zalecają sprawdzenie systemów pod kątem śladów wcześniejszych ataków oraz zmianę haseł i kluczy, ponieważ próby wykorzystania luki odnotowano jeszcze przed jej publicznym ujawnieniem.