Valtion verkkopalveluissa on havaittu vakavia haavoittuvuuksia, kertoo Valtion tieto- ja viestintätekniikkakeskus Valtori. Varotoimena valtionhallinnon julkisen internetin palveluja alettiin ajaa alas keskiviikkona kello 12.45.
Haavoittuvuudet on löydetty verkkopalveluissa erittäin laajasti käytetystä PHP-ohjelmistosta. Niihin ei vielä ole saatavilla korjaavia päivityksiä.
Valtorin mukaan ohjelmiston valmistajan on määrä julkaista korjaava päivitys keskiviikkona kello 17. Korjattu versio pitäisi ottaa käyttöön mahdollisimman pian sen julkaisun jälkeen kaikissa ympäristöissä, joissa PHP on käytössä.
Valtori kartoittaa parhaillaan tilanteen laajuutta ja selvittää mahdollisia keinoja riskin rajaamiseksi. Se kertoo päivittävänsä omassa ylläpidossaan olevien tuotteistettujen palvelujen PHP-sovellukset heti korjauksen tultua saataville.
Tällä hetkellä ei Valtorin mukaan ole tiedossa, että haavoittuvuuksia käytettäisiin aktiivisesti hyväksi. Tilanne voi kuitenkin muuttua nopeasti.
Korjaus ei ulotu vanhimpiin versioihin
Haavoittuvuudet koskevat PHP-versioita 5.0 eteenpäin. Korjaava päivitys on kuitenkin tulossa vain 8.0-versiosta alkaen.
Tämän vuoksi erityistä huomiota on kiinnitettävä vanhempia PHP-versioita käyttäviin järjestelmiin. Valtorin mukaan kriittisimpiä kohteita ovat suoraan internetiin yhteydessä olevat palvelut ja tietojärjestelmät.
Valtorin asiakasorganisaatiot vastaavat itse ylläpitämiensä tietojärjestelmien päivittämisestä. Jos järjestelmästä vastaa ulkopuolinen sovellustoimittaja, organisaatioiden on syytä varmistaa päivitysten tekeminen tältä.
Organisaatioita kehotetaan varautumaan asentamaan korjaukset kiireellisesti myös normaalien päivityssyklien ulkopuolella. Jos järjestelmän päivittäminen ei onnistu heti, valmistajan mahdolliset keinot haavoittuvuuden hyödyntämisen rajoittamiseksi pitäisi ottaa käyttöön viipymättä.
PHP eli Hypertext Preprocessor on palvelinpuolen ohjelmointikieli, jota käytetään laajasti verkkosivustoissa, sisällönhallintajärjestelmissä ja verkkokauppa-alustoissa.