Alvarlegir öryggisveikleikar í PHP
Í gær, 21. október, vakti CERT-IS athygli á tveimur alvarlegum öryggisveikleikum í PHP-forritunarmálinu, sem knýr stóran hluta vefsíðna og vefkerfa um allan heim. Rekstrarteymi Snerpu brást strax við.
Veikleikarnir, sem hafa fengið auðkennin CVE-2026-109618 og CVE-2026-109619, eru metnir mjög alvarlegir (CVSS 9,2). Þeir geta gert óviðkomandi aðilum kleift að keyra kóða á vefþjónum án nokkurrar auðkenningar og ná þannig til allra vefþjóna sem keyra PHP og eru aðgengilegir frá internetinu, óháð því hvaða vefkerfi er notað, til dæmis WordPress, Drupal, Joomla eða Nextcloud.
Um leið og viðvörunin barst hóf rekstrarteymi Snerpu að kortleggja þær þjónustur sem gætu orðið fyrir áhrifum og greip til þeirra fyrirbyggjandi ráðstafana sem CERT-IS og PHP mæltu með. PHP gaf út lagfæringu síðdegis í gær og í kjölfarið voru vefþjónar Snerpu uppfærðir í lagfærðar útgáfur. Meginhluti þjónusta Snerpu keyrir nú á uppfærðu PHP.
Á einum vefþjóni eru enn eldri vefsíður sem keyra á útgáfum af PHP sem ekki eru lengur í stuðningi. Með öryggi viðskiptavina að leiðarljósi hefur verið lokað tímabundið fyrir aðgang að þessum síðum frá internetinu á meðan unnið er að uppfærslu þeirra. Slík lokun er fyrirbyggjandi öryggisráðstöfun og er í samræmi við það sem CERT-IS mælir með þar til lagfæring er komin á. Síðurnar verða opnaðar aftur jafnóðum og uppfærslu lýkur og verður eigendum þeirra tilkynnt sérstaklega um stöðuna og næstu skref.
Við vöktum áfram kerfi okkar með tilliti til óeðlilegrar umferðar og höfum engar vísbendingar um að veikleikarnir hafi verið nýttir gegn þjónustum Snerpu.
Viðskiptavinir sem reka eigin vefþjóna með PHP, hvort sem er hjá Snerpu eða annars staðar, eru hvattir til að uppfæra tafarlaust í nýjustu útgáfur (8.5.12, 8.4.27, 8.3.36 eða 8.2.35) og endurræsa PHP-FPM eða vefþjóninn að uppfærslu lokinni. Eldri útgáfur, 8.1 og eldri, eru ekki lengur í stuðningi og þarf að uppfæra þær eða sækja lagfæringu frá viðkomandi dreifingaraðila.
Hafir þú spurningar um áhrif á þína þjónustu er velkomið að hafa samband við þjónustuver Snerpu.