PHP2Shell dēļ slēdza 165 valsts vietnes — sekmīgu uzbrukumu nav

21. oktobra vakarā PHP2Shell ievainojamību riska dēļ Latvijā uz laiku apturēja 165 valsts un pašvaldību iestāžu vietņu darbību; arī LSM.lv portāls nebija pieejams aptuveni piecas stundas. Slēgšana bija piesardzības pasākums, kamēr tika novērsts risks, ko radīja jaunatklātās PHP kļūdas. Vēlāk vietņu darbību atjaunoja pakāpeniski.

CERT.LV 21. oktobra paziņojumā norādīts, ka Latvijā identificēti aptuveni 6000 potenciāli ietekmētu resursu un novēroti automatizēti ievainojamību izmantošanas mēģinājumi, taču ziņu par sekmīgiem uzbrukumiem nebija; no potenciāli ietekmētajiem resursiem tikai daži simti atradās valsts sektorā. Daļai valsts digitālo resursu piekļuve no ārvalstīm palika ierobežota, kamēr to uzturētāji ieviesa labojumus. Potenciāli ietekmēto resursu kopskaits aptvēra arī privāto sektoru; tas nenozīmē, ka visi šie resursi tika atslēgti vai kompromitēti. Savukārt ārvalstu piekļuves filtrēšana skaidro, kāpēc vietne pēc darbības atjaunošanas Latvijā vēl varēja nebūt sasniedzama no citas valsts.

Kāpēc vietnes uz laiku slēdza

PHP darbojas tīmekļa servera pusē un apstrādā pieprasījumus, kas pienāk, kad cilvēks atver vietni vai izmanto pakalpojumu. Ja ievainojama PHP instalācija paliktu publiski sasniedzama pirms labojuma uzstādīšanas, pieprasījumus tai varētu nosūtīt arī uzbrucējs. Tāpēc iestādes ierobežoja piekļuvi apdraudētajiem resursiem, kamēr tos atjaunināja.

Vakarā nebija pieejamas arī ministriju un Valsts prezidenta tīmekļvietnes. Tika apturēts LSM portāls, Latvijas Radio mājaslapas un lietotne; iedzīvotājiem tas uz laiku pārtrauca ierastos ceļus uz ziņām un radio saturu. Savukārt Centrālās statistikas pārvaldes Oficiālās statistikas portālam un citiem tās datu rīkiem tika ierobežota piekļuve.

Pēc portāla darbības atjaunošanas Latvijas Radio tiešraides bija pieejamas lietotnē un replay.lv, lai gan ierakstu atjaunošana vēl turpinājās. Sabiedriskā medija portāls, tiešraides un ieraksti līdz ar to nebija pieejami vienādi. Arī iestāžu vietnes un statistikas datu rīki bija atšķirīgi pakalpojumi ar savu atjaunošanas gaitu.

Kas mainījās pēc drošības atjauninājumiem

Tīmekļvietņu vienotajai platformai tika uzstādīti nepieciešamie labojumi, un tajā izvietotās valsts un pašvaldību iestāžu vietnes atkal kļuva pieejamas no Latvijas. No Latvijas bija sasniedzama arī Latvija.gov.lv platforma, bet piekļuve tai no ārvalstīm palika ierobežota. Atjaunojās arī LSM.lv un 112.lv darbība. Publiskās vietnes slēgšana un ārvalstu piekļuves filtrēšana bija divi atšķirīgi pagaidu pasākumi.

Ģeogrāfiskais ierobežojums varēja radīt šķietami pretrunīgu pieredzi: lietotājs Latvijā atvēra pakalpojumu, kamēr cilvēks ārvalstīs to vēl nevarēja sasniegt. Sākotnēji bija paredzēts, ka piekļuvei no Latvijas ierobežojumi netraucēs, taču daļa vietņu vakarā faktiski tika pilnībā apturētas. Kad platforma bija atjaunināta, vietējā piekļuve atgriezās; citu valsts resursu uzturētājiem labojumi vēl bija jāievieš.

Cilvēkam, kurš mēģināja izmantot pakalpojumu no ārvalstīm, tas varēja nozīmēt ilgāku gaidīšanu pat tad, kad ziņas par vietņu atjaunošanu Latvijā jau bija publicētas. Piekļuves statuss bija atkarīgs no konkrētā resursa un pieslēgšanās vietas.

Ko apzīmē PHP2Shell un 9,2 punktu vērtējums

CERT.LV tehniskais brīdinājums par PHP2Shell sauc ievainojamības CVE-2026-109618 un CVE-2026-109619, kuru bīstamība novērtēta ar 9,2 punktiem CVSS skalā, un norāda labotās versijas PHP 8.5.12, 8.4.27, 8.3.36 un 8.2.35. Šīs kļūdas var ļaut neautentificētam uzbrucējam attālināti izpildīt kodu serverī. Vērtējums raksturo iespējamo seku smagumu un uzbrukuma apstākļus, nevis jau notikušu ielaušanos Latvijas vietnēs.

Apdraudējums rodas pašā PHP pieprasījumu apstrādē. Viena kļūda saistīta ar atmiņas izsīkuma kļūdainu apstrādi pieprasījuma noslēgumā, otra — ar agrāka pieprasījuma iekšējā stāvokļa izmantošanu pēc tam, kad tam piesaistītā atmiņa ir atbrīvota. Tas izskaidro, kāpēc ar lietotnes koda labojumu vien nepietiek: jāatjaunina PHP vide, kura šo kodu izpilda. Īpaši steidzami tas ir internetā sasniedzamām sistēmām, jo uzbrukuma mēģinājumam nav vajadzīgs lietotāja konts.

Kas jādara PHP sistēmu uzturētājiem

Uzturētājiem jānoskaidro, kura PHP versija patiesībā apstrādā katras publiskās vietnes pieprasījumus, un jāuzstāda attiecīgā atzara labotais laidiens. Pārbaudei jāaptver arī PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed konfigurācijas, ne tikai versija, ko rāda komandrinda. Vispirms jāapzina internetā sasniedzamie pakalpojumi: tie ir pieejami arī automatizētiem pieprasījumiem, kuru mēģinājumi Latvijā jau tika novēroti. Vienā serverī var darboties vairākas PHP vides, tādēļ komandrindas atbilde pati par sevi neapliecina, ka tīmekļa pakalpojums jau ir labots.

Ja PHP piegādā operētājsistēmas izplatītājs vai ilgtermiņa atbalsta nodrošinātājs, jāņem vērā tā drošības pakotne: labojums var būt pārnests arī uz pakotni ar vecāku redzamo versijas numuru. Novecojušam PHP atzaram, kam pats projekts vairs neizlaiž regulārus atjauninājumus, uzturētājam jānoskaidro piegādātāja labojuma pieejamība vai jāpāriet uz atbalstītu atzaru. Pēc atjaunināšanas jāapstiprina tieši tīmekļa pieprasījumus apkalpojošās vides versija, citādi nepareizi konfigurēts pakalpojums var turpināt lietot ievainojamo izpildvidi.

Ja labojumu uzreiz nevar ieviest, piekļuves ierobežošana samazina iespēju uzbrucējam nosūtīt pieprasījumu ievainojamajam serverim. Taču pagaidu ierobežojums neaizvieto programmatūras atjauninājumu: kļūda saglabājas, līdz tiek salabota faktiskā PHP izpildvide. Tādēļ pilnīga piekļuve vēl ierobežotajiem Latvijas resursiem ir atkarīga no tā, kad to uzturētāji pabeigs labojumu ieviešanu.

Lasiet arī:

• Latvijā aizturēts hakeris — automatizēta skenēšana atrada vājas vietnes
• TikTok One ienāk Dienvidāfrikā — peļņas iespējas joprojām nosaka valsts
• Firefox 158 aizlāpa augsta riska kļūdas — atjauninājumu atlikt nav vērts