Orange czasowo wyłącza część swoich stron i aplikacji z powodu luk w PHP

Orange poinformował o czasowym zawieszeniu dostępu do części swoich stron internetowych, usług i aplikacji wykorzystujących PHP. To działanie zapobiegawcze po ujawnieniu podatności w tym popularnym języku programowania. Ograniczenia dotyczą kilku spółek i jednostek Grupy Orange.

W komunikacie opublikowanym 22 października operator wyjaśnia, że czasowe wyłączenie serwisów pozwala zainstalować poprawki bezpieczeństwa i przeprowadzić niezbędne kontrole. Dostęp do poszczególnych stron oraz aplikacji ma być przywracany stopniowo, po zakończeniu tych prac.

Zespoły techniczne i cyberbezpieczeństwa Orange pracują nad problemem od 21 października. Według operatora poprawki zostały już wdrożone w dużej części stron objętych działaniami. Firma nadal pracuje nad przywróceniem pozostałych usług, ale nie podała terminu zakończenia całej operacji.

Problem dotyczy samego PHP, a więc technologii wykorzystywanej przez wiele serwisów internetowych. Jego twórcy poinformowali 21 października o dwóch krytycznych podatnościach, które mogą umożliwić atakującemu zdalne uruchomienie kodu na serwerze bez wcześniejszego logowania. Poprawki udostępniono w wersjach PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Zespół PHP wezwał użytkowników do niezwłocznej aktualizacji.

Orange nie opublikował w grupowym komunikacie listy wyłączonych serwisów ani krajów, w których występują utrudnienia. Informacje o lokalnej sytuacji mają przekazywać spółki w poszczególnych państwach. Dokument nie precyzuje więc, czy i w jakim zakresie ograniczenia obejmują usługi Orange Polska.

Operator przeprosił klientów i użytkowników za niedogodności. W komunikacie nie poinformowano o skutecznym ataku na systemy Orange ani o wycieku danych — opisane działania mają charakter zapobiegawczy.