IT-блогер Серж Потаман

🫣 Актуальна реальная кулстори из одного ИТ-отдела. ИБшники позвонили в 6:12 утра. - Срочно патчите все PHP-серверы. Прямо сейчас. - Что стряслось? - Две критические уязвимости. RCE. Удаленное выполнение кода без авторизации. Красота. Спрашиваю: "А сколько у нас вообще серверов на пыхе?" По CMDB и документации: 12. По факту: хз. Пошли искать по сетке. Нашли: • Один полуживой WordPress; • Три древних внутренних тулзы; • Один гудящий системник под столом у завхоза; • Два закрытых вендорских апплайнса; • Забытый телефонный справочник сотрудников за 2016 год; • И виртуалочку с именем PHP-STAROE-NE-TROGAT Естественно, на ней крутится выгрузка зарплатных ведомостей. Следом откопали тазик на PHP 5.6. Спрашиваю: "Кто его запиливал?" В README.txt в корне проекта написано: СЕРЁГА. Серёга уволился в 2019 году. Набрали Серёге. Серёга в трубку: - "Охренеть, этот кусок говна до сих пор работает?!" Душевно 🙂 К 8:00 на аварийный колл подтянулось руководство. Генеральный: - То есть хакеры реально могут зайти снаружи? ИБ: - Потенциально... да. Генеральный: - И даже без пароля? ИБ: - Вообще без пароля. Генеральный: - А нахрена МЫ тогда каждые три месяца эти пароли меняем?! (Понятно, суть проблемы уловил не до конца). Подключился финансовый отдел. Спросили, нельзя ли отложить патчинг до выходных, потому что "даунтайм уронит выручку". Безопасники вежливо пояснили, что альтернатива - это когда рандомные хацкеры будут бесплатно запускать любые скрипты на наших серверах. Финики попросили "прислать сравнительную табличку затрат". В 9:17 кто-то предложил: " А давайте временно потушим уязвимые веб-морды". Маркетинг в отказ: "Нельзя! У нас прямо сейчас крутится реклама вебинара со скидкой 20%!" В итоге следующий час топ-менеджмент на полном серьёзе перетирал, что лендос со скидоном на вебинар важнее, чем полный захват инфраструктуры компании. Вроде всё нашли, изолировали, пропатчили. Выдохнули. И тут сетевой сканер находит ещё один хост. Имя: TEMP-PHP-2014 Аптайм: 4512 дней. Никто не знает, что там крутится. Ни за кем не числится. Отключить нельзя - потому что как только мы рубим ему порт, у нас складе перестают печататься накладные. ИБ вздохнуло и присвоило тачке статус "критическая инфраструктура". Там стоит PHP 5.4. Уязвимость в нём существует дольше, чем средний возраст джуна в компании. Так и прошел один из дней на одной из реальных галер.