In questo articolo Indice dei contenuti 2 sezioni
La CISA, l’agenzia statunitense per la sicurezza informatica e delle infrastrutture, ha confermato che le vulnerabilità PHP2Shell sono ormai sfruttate attivamente negli attacchi. Le due falle critiche di PHP sono finite nel catalogo delle debolezze di sicurezza già prese di mira dai criminali informatici, e la cosa ha un peso non da poco se si considera quanto sia diffuso questo linguaggio sul web. Chi attacca non ha bisogno di privilegi particolari per sfruttarle. Gli attacchi sono considerati ad alta complessità ma, se vanno a segno, consentono l’esecuzione di codice da remoto sui sistemi che non sono stati ancora aggiornati.
Il team di sicurezza di PHP ha corretto entrambi i problemi mercoledì 21 ottobre, appena un giorno dopo aver invitato i responsabili della sicurezza a installare gli aggiornamenti non appena disponibili. Nel frattempo però la situazione si era già complicata. I dettagli sulle falle PHP2Shell, compresi gli identificativi ufficiali e le misure di mitigazione condivise con i gestori di infrastrutture critiche, erano trapelati prima del rilascio delle patch. In rete erano comparsi anche alcuni exploit dimostrativi, che secondo gli sviluppatori di PHP non funzionavano.
Tentativi di attacco prima ancora delle correzioni
Diverse aziende di sicurezza informatica, tra cui Cloudflare, Amazon, Hadrian, watchTowr, Previdian e Patchstack, avevano rilevato tentativi di sfruttamento su larga scala ancora prima della divulgazione pubblica. In tutti i casi però le operazioni erano state classificate come fallite. I ricercatori di Amazon Threat Intelligence hanno aggiunto un dettaglio interessante: gli aggressori avevano cominciato a puntare su queste vulnerabilità quattro giorni prima che gli aggiornamenti correttivi venissero pubblicati.
La svolta è arrivata nel fine settimana. Adel Karimi, responsabile del rilevamento e della risposta agli incidenti di Perplexity, è stato il primo a confermare lo sfruttamento reale delle falle. I suoi honeypot, cioè sistemi esca pensati per attirare e studiare gli attacchi, hanno registrato prove di esecuzione di codice da remoto contro un’installazione Apache mod_php con PHP 8.4.26. La CISA, dal canto suo, non ha ancora diffuso ulteriori informazioni sugli attacchi in corso.
Venerdì il team di sicurezza di PHP ha anche condiviso le indicazioni per mitigare una nuova falla di esecuzione di codice da remoto, per la quale non esiste ancora una correzione. Il problema è sfruttabile quando si prendono di mira sistemi con una combinazione insolita di configurazione e codice applicativo.
Agenzie federali obbligate ad aggiornare entro giovedì
Lunedì la CISA ha inserito le due falle nel suo Known Exploited Vulnerabilities Catalog e ha ordinato alle agenzie del ramo esecutivo civile federale di mettere in sicurezza i propri sistemi entro giovedì, come previsto da una direttiva operativa vincolante. L’agenzia ha spiegato che vulnerabilità di questo tipo rappresentano un vettore di attacco frequente per i malintenzionati e comportano rischi significativi per l’amministrazione federale.
L’obbligo vale solo per gli enti federali statunitensi, ma l’agenzia ha comunque esortato tutte le organizzazioni ad adottare una gestione delle vulnerabilità basata sul rischio e a dare priorità alla correzione delle falle presenti nel catalogo. Un invito che riguarda da vicino chiunque gestisca server web, aziende comprese.
I numeri aiutano a capire la portata del problema. PHP alimenta circa il 70% di tutti i siti web. Secondo le stime di VirusTotal, gli host PHP esposti online sono più di 5,1 milioni e circa 3,8 milioni di istanze hanno almeno una porta aperta e quindi raggiungibile dagli attacchi.
Fonte: TecnoAndroid