Urad Vlade Republike Slovenije za informacijsko varnost ima zadnje dni veliko dela zaradi odkritja dveh kritičnih ranljivosti v programskem jeziku PHP. Najprej je razglasil visoko stopnjo ogroženosti kibernetske varnosti v Republiki Sloveniji, potem se je lotil proti-ukrepov za vse različne državne in zasebne strukture, nazadnje pa je napovedal, da že v prihodnjih dneh lahko pride do novosti in dodatnih navodil za sanacijo.
Simbolična fotografija napake v programskem jeziku (foto: pxhere.com)
Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) je zaradi dveh kritičnih ranljivosti v programskem jeziku PHP ta teden posodobil oceno ogroženosti kibernetske varnosti v Republiki Sloveniji, ogroženost varnosti omrežij in ogroženosti informacijskih sistemov zavezancev po ‘Zakonu o informacijski varnosti'(ZInfV-1) in tudi vseh tistih, ki niso zavezanci. Sedaj je ogroženost visoka, ta ocena pa velja do preklica.
Zaradi visoke stopnje ogroženosti so morali zavezanci po ‘Zakonu o informacijski varnosti’ in varnostno-operativni centri organov državne uprave v roku 24 ur izvesti nujne ukrepe za zmanjšanje tveganj in preprečevanje morebitnih kibernetskih incidentov. Pomembne incidente naslovniki so lahko priglasili ‘Skupini za odzivanje na incidente na področju računalniške varnosti CSIRT’.
URSIV je zavezancem in vsem ostalim priporočil, da čim prej identificirajo vse aplikacije, ki temeljijo na PHP, pri čemer imajo prednost aplikacije in sistemi, dostopni prek interneta. Nato naj namestijo varnostne popravke in sicer takoj, ko so na voljo. Po namestitvi pa naj preverijo tudi aplikacije in rešitve, ki uporabljajo vgrajeno različico PHP, oz. so odvisne od PHP, ki ga vzdržuje proizvajalec druge programske opreme.
»Če takojšnja namestitev popravkov ni mogoča, naj ocenijo tveganje in po potrebi začasno omejijo dostop do izpostavljenih aplikacij oziroma jih izolirajo od javnih omrežij ali uvedejo druge ustrezne zaščitne ukrep. Zaznane incidente naj sporočijo pristojni skupini CSIRT,« so sporočili z Urada Vlade Republike Slovenije za informacijsko varnost. Napovedali pa so tudi, da lahko že v prihodnjih dneh pride do novosti in dodatnih navodil za dokončno sanacijo.