Ви оновили систему й думаєте, що тепер усе під контролем? Не поспішайте з висновками. Одні програми вже можуть блокувати загрозу, а інші — досі її не помічати. А щойно розробники випускають виправлення критичної помилки, зволікання з оновленням може зіграти на руку зловмисникам. Жовтневі інциденти з eMudhra та PHP нагадали бізнесу: ваша кібербезпека залежить не лише від вас, а й від технологій, яким ви довіряєте.
Коли ламається те, чому ми довіряємо
Індійський центр сертифікації eMudhra створив вісім сертифікатів зі слабкими ключами, які можна було відновити менш ніж за секунду. Шість із них дозволяли створювати сертифікати для будь-якого домену, які деякі системи могли сприймати як справжні.
Щоб використати їх для атаки, зловмиснику потрібно перехопити з'єднання між користувачем і сервером, наприклад через підмінений Wi-Fi. Так помилка одного постачальника може поставити під загрозу інші компанії.
Оновлення не завжди означає захист
Браузери відреагували швидко: Firefox і Chrome заблокували проблемні сертифікати в день повідомлення про інцидент. Але деякі програми продовжували їм довіряти, бо використовували власні списки сертифікатів та не перевіряли, чи їх відкликали.
Наприклад, хоча Safari вже заблокував ці сертифікати, інші вбудовані в macOS інструменти, такі як curl, git і python3, на момент підготовки статті — ще ні. Тому важливо перевіряти не лише оновлення системи, а й те, чи захищені всі програми та компоненти інфраструктури.
Чому з оновленнями не варто зволікати
21 жовтня команда PHP випустила виправлення двох критичних вразливостей, які могли дозволити запускати код на сервері без авторизації. Невдовзі з’явилися перші робочі інструменти для їх використання.
Після виходу виправлення зловмисники можуть порівняти стару й нову версії коду та зрозуміти, як атакувати системи, які ще не оновилися. Тому зволікання збільшує ризик.
Ще складніше компаніям, які використовують застарілі версії: PHP 8.1 і старіші вже не підтримуються, тож офіційних виправлень для них не буде. Якщо відкладати оновлення надовго, переходити на новішу версію доведеться вже в терміновому режимі.
Регулярні оновлення допомагають не перетворювати технічний борг на критичну проблему безпеки.
Неможливо захистити те, про що не знаєш
Обидва інциденти показують, наскільки важливо розуміти, від яких технологій залежить бізнес.
Це не лише власні сервери, а й готові програми, хостинг, зовнішні сервіси та інтеграції з партнерами. Навіть якщо компанія сама не використовує PHP, на ньому може працювати сайт, CRM або інший продукт її постачальника.
Для кожної важливої системи варто знати три речі: хто за неї відповідає, хто її оновлює і чи використовує вона підтримувану версію.
Без цього компанія ризикує не знати про вразливість, не розуміти, де шукати проблему, і втрачати час на реагування.
Кібербезпека — це готовність реагувати
Уникнути всіх вразливостей неможливо. Але можна підготуватися до них заздалегідь.
Що варто зробити бізнесу?
- Стежити за попередженнями. Читати повідомлення про вразливості на сайтах розробників технологій, які використовує компанія, та в CERT-UA.
- Не використовувати версії без підтримки. Для застарілого програмного забезпечення виправлень може не бути взагалі.
- Автоматизувати перевірки. Наприклад, Harbor разом зі сканером Trivy допомагає виявляти вразливості в контейнерах і блокувати потрапляння небезпечних образів у продакшен.
- Заздалегідь розподілити відповідальність. Визначити, хто ухвалює рішення, оновлює системи та повідомляє клієнтів у разі інциденту.
- Мати запасний план. Якщо виправлення ще немає або його неможливо встановити одразу, потрібно знати, як знизити ризик, наприклад тимчасово обмежити доступ до вразливої системи.
Ці кроки не гарантують відсутності інцидентів, але допомагають реагувати швидше й не починати роботу з нуля в критичний момент.
Головне — знати, чому ви довіряєте
Кібербезпека — не стан, якого компанія досягає один раз. Інциденти з eMudhra та PHP показують: навіть чужа помилка може стати ризиком для вашого бізнесу.
Ви не контролюєте всі технології, від яких залежите. Але можете контролювати те, наскільки добре знаєте власну інфраструктуру, як швидко дізнаєтеся про вразливості та скільки часу потрібно команді, щоб відреагувати.Тому важливо не лише оновлювати системи, а й розуміти, що саме потрібно оновити, де це зробити і скільки часу на це піде.