המערכת שלכם עדיין על PHP 7? לפרצה מאוקטובר אין תיקון בשבילה

דמיינו שאתם פותחים את המחשב ביום שני בבוקר ומגלים שהחנות באתר לא עובדת, או שהלקוחות שלכם מקבלים מיילים מוזרים בשם החברה. כמעט תמיד זה מתחיל במשהו שאף אחד לא שם לב אליו: הגרסה של תוכנה נשכחת על השרת.

כרגע, אצל הרבה חברות, התוכנה הזאת היא PHP 7.

קודם כול: מה זה PHP ולמה זה נוגע לכם

PHP היא שפת התכנות שמפעילה חלק עצום מהאינטרנט: חנויות אונליין, אתרי WordPress, אזורי לקוחות, מערכות פנימיות שנבנו בהתאמה. כנראה שמעולם לא בחרתם ב-PHP. מישהו בחר בשבילכם לפני שנים, וזה עבד טוב עד עכשיו.

מה קרה, בכמה מילים

ב-21 באוקטובר הודיעו האחראים על PHP על שתי פרצות חמורות, עם ציון 9.2 בסולם שמגיע עד 10. בפועל הן מאפשרות למישהו באינטרנט להשתלט על השרת שהאתר שלכם רץ עליו, בלי סיסמה.

חמישה ימים אחר כך, סוכנות אבטחת הסייבר של ממשלת ארה"ב (CISA) הוסיפה את הפרצות לרשימת אלה שכבר מנוצלות בתקיפות אמיתיות.

התיקון יצא כבר ב-21 בחודש. אבל רק ל-PHP 8.2 ולגרסאות החדשות יותר.

כמה זה יכול לעלות לחברה שלכם

• האתר או המערכת מושבתים באמצע יום העבודה, או בדיוק ביום של מבצע מכירות.
• נתוני לקוחות חשופים, כמו פרטי חשבון, הזמנות ומיילים. מעבר לפגיעה באמון, דליפה של מידע אישי יכולה להוביל לתביעות ולקנסות לפי חוקי הפרטיות.
• האתר שלכם עובד בשביל עבריינים: שולח ספאם או מפיץ הונאות. ואז Google מתחיל להזהיר שהאתר שלכם מסוכן.
• החשבון על הניקיון: לשקם שרת שנפרץ עולה הרבה יותר מאשר למנוע.

אנחנו לא אומרים את זה כדי להפחיד. פרצות כאלה מנוצלות בהמוניהם, על ידי בוטים שסורקים את האינטרנט ומחפשים כל שרת פגיע. אף אחד לא צריך לבחור דווקא בחברה שלכם: מספיק שהיא נמצאת בדרך.

אז פשוט לעדכן?

היה נחמד, אבל זה כמעט אף פעם לא פשוט. מי שעדיין על PHP 7 בדרך כלל נמצא שם מסיבה טובה: המערכת עובדת, מכניסה כסף ואף אחד לא רוצה לגעת בה. המעבר ל-PHP 8 משנה חלק מהכללים של השפה, ודברים שעבדו יכולים להפסיק לעבוד. תוספים ישנים, frameworks לא מעודכנים וקוד שנכתב לפני שנים נשברים ראשונים.

לעדכן בעיניים עצומות זה להחליף סיכון אחד בסיכון אחר. הדרך הבטוחה היא לדעת מראש מה יישבר, כמה זה עולה ובאיזה סדר לעשות את זה.

לא יודעים איזו גרסה יש לכם? זה נורמלי. זה הדבר הראשון שנברר בשבילכם.

ענו על חמש השאלות האלה

• על איזו גרסת PHP רצים האתרים והמערכות של החברה?
• מי אחראי על העדכונים בשרת, והאם הוא עדיין עובד איתכם?
• מתי היה העדכון הגדול האחרון של המערכת?
• אם האתר היה נופל היום, כמה החברה הייתה מפסידה ביום?
• יש גיבוי עדכני, ומישהו כבר בדק שהוא עובד?

אם על אחת השאלות עניתם "לא יודע", אתם לא לבד. הרבה חברות נמצאות באותו מקום, ובדיוק שם אנחנו נכנסים לתמונה.

איך 360 Brave פותרת את זה איתכם

אנחנו סטודיו להנדסת תוכנה. בניתוח ההשפעה של PHP אנחנו בודקים את כל מה שרץ אצלכם, מסבירים את הסיכון בשפה עסקית ומוסרים תוכנית עם לוח זמנים ומחיר קבועים.

1. 01

   שיחה של 20 דקות

   אתם מספרים איך הפעילות שלכם עובדת, במילים שלכם. בלי התחייבות ובלי ז'רגון.

2. 02

   אבחון

   עם גישת קריאה בלבד, אנחנו ממפים את כל האתרים והמערכות ב-PHP, את הגרסאות, מה חשוף לאינטרנט ומה יישבר בעדכון.

3. 03

   תוכנית שמבינים

   רשימה של מה לעשות קודם, לפי גודל הסיכון לעסק, עם לוח זמנים ומחיר. כולל צעדים מיידיים לצמצום החשיפה עד שהעדכון מוכן.

4. 04

   עדכון בלי הפתעות

   אנחנו מעדכנים בשלבים, עם בדיקות ודרך חזרה, כדי שהמערכת לא תיעצר. אם תעדיפו, נמסור את התוכנית לצוות שלכם.

אחר כך, אם זה מתאים, אנחנו מטפלים בשרת שלכם באופן שוטף. כך הפרצה הבאה הופכת לעדכון שגרתי, ולא לחירום ביום שני בבוקר.