Непал відключив урядові сайти через критичні вразливості PHP — Kathmandu Post
Уряд Непалу тимчасово відключив урядові онлайн-системи через дві критичні вразливості в мові програмування PHP. Екстрені роботи з безпеки розпочали ввечері 21 жовтня після оприлюднення інформації про ці проблеми, повідомляє Kathmandu Post.
Центр розробки та експлуатації програмного забезпечення, що працює при Офісі прем’єр-міністра та Раді міністрів Непалу, створив екстрену групу разом з іншими технічними центрами й представниками влади. Група вирішила відключити урядові системи як запобіжний захід проти можливих зламів. Частину систем уже оновили та повернули в роботу.
Уразливості з критичним рівнем небезпеки
Вразливостям присвоїли ідентифікатори CVE-2026-109618 та CVE-2026-109619. Обидві отримали оцінку 9,2 з 10 за системою CVSS версії 4.0. За певних умов зловмисник може надіслати спеціально сформований запит і віддалено виконати шкідливий код на вразливому сервері без входу в систему або пароля.
Більше актуальних новин читайте у Telegram-каналі UA.News.
У разі успішної експлуатації атакувальники потенційно можуть отримати доступ до конфіденційної інформації, змінити вміст сайту або скомпрометувати систему для подальших атак. Водночас рекомендація Національного центру кібербезпеки Непалу не підтверджує, що непальські сайти вже зазнали зламу.
Оновлення для PHP і популярних платформ
Національний центр кібербезпеки 22 жовтня закликав організації перевірити встановлені версії PHP та оновитися до виправлених релізів. Попередження стосується не лише сайтів, що використовують PHP безпосередньо, а й платформ WordPress, Joomla, Drupal та Magento.
Центр рекомендував встановити PHP 8.5.12, 8.4.27, 8.3.36 або 8.2.35 чи новіші версії у відповідних гілках. Для PHP 8.1 і старіших версій необхідних виправлень у рекомендації немає, тому їх радять замінити на новіші захищені версії. Організаціям, які не можуть негайно встановити оновлення, порадили обмежити публічний доступ до вразливих сервісів або ізолювати їх від інтернету.
