Aktualizacje i przestarzałe oprogramowanie

Moduł 5: Urządzenia, oprogramowanie i sieć · Czas czytania: 10 minut

Cel lekcji: Po tej lekcji można ustalić politykę aktualizacji dla systemów operacyjnych, aplikacji, wtyczek, routerów i innych urządzeń oraz wyjaśnić, co oznacza „koniec wsparcia” i co wtedy należy zrobić.
Kluczowe pojęcia: podatność, poprawka (patch), zero-day, automatyczne aktualizacje, firmware, wtyczka, inwentaryzacja, koniec wsparcia (end of life), urządzenie brzegowe (edge device)

Aktualizacja to dodatkowy zamek w drzwiach

Oprogramowanie zawiera błędy. Niektóre są jedynie uciążliwe (przycisk, który nie działa), inne stanowią podatność: błąd, dzięki któremu osoba atakująca może zrobić coś, czego nie powinna, na przykład zalogować się bez hasła lub uruchomić własny kod. Twórca oprogramowania naprawia to za pomocą poprawki, która trafia do odbiorcy jako aktualizacja.

Problem tkwi w kolejności zdarzeń. Gdy tylko aktualizacja zostaje opublikowana, podatność staje się w praktyce jawna. Osoby atakujące porównują starą i nową wersję, sprawdzają, co zostało naprawione, i na tej podstawie budują atak. Następnie automatycznie skanują cały internet w poszukiwaniu urządzeń, które jeszcze nie otrzymały aktualizacji. To dokładnie ten sam oportunistyczny atak, o którym mowa w lekcji 1.1: osoby atakujące nie szukają konkretnej firmy, szukają każdego, kto zostaje w tyle.

Zero-day to podatność, która jest już wykorzystywana, zanim powstanie poprawka. W takiej sytuacji niewiele można zrobić poza stosowaniem się do zaleceń producenta i ograniczaniem szkód (kopie zapasowe, minimalne uprawnienia). Jednak zdecydowana większość włamań do małych firm odbywa się przez podatności, dla których aktualizacja była dostępna od dawna.

Dawne niderlandzkie Digital Trust Center, obecnie część niderlandzkiego NCSC, stwierdziło w 2024 roku w swoim teście CyberVeilig Check, że ponad jedna trzecia małych firm w Niderlandach (36%) nie miała włączonych automatycznych aktualizacji na wszystkich swoich urządzeniach podłączonych do internetu. Zalecenie jest proste: nie czekać z aktualizacją i włączać automatyczne aktualizacje wszędzie tam, gdzie to możliwe.

Co tak naprawdę posiada Państwa firma? Inwentaryzacja

Nie da się zaktualizować czegoś, o czym się zapomniało. Większość firm, myśląc o aktualizacjach, ma na myśli laptopy i telefony, ale najbardziej niebezpieczne bywają urządzenia działające po cichu:

Urządzenia podłączone bezpośrednio do internetu i dostępne z zewnątrz (router, serwer VPN, NAS z dostępem zdalnym, kamera) nazywamy urządzeniami brzegowymi (edge devices). Są one najczęstszym celem ataku, ponieważ osoba atakująca może się do nich dostać bez konieczności nakłonienia pracownika do kliknięcia czegokolwiek. Anonimowy przykład: biuro rachunkowe miało włączoną funkcję „dostęp z dowolnego miejsca” na urządzeniu NAS. Producent wydał aktualizację bezpieczeństwa, biuro jej nie zainstalowało, a kilka tygodni później wszystkie pliki na urządzeniu NAS zostały zaszyfrowane. Nikt nie kliknął w nic podejrzanego.

Polityka aktualizacji w pięciu zasadach

Polityka nie musi być dziesięciostronicowym dokumentem. Dla małej firmy sprawdzają się te zasady:

1. Automatycznie tam, gdzie to możliwe. Należy włączyć automatyczne aktualizacje dla systemów operacyjnych, przeglądarek, aplikacji oraz, jeśli to możliwe, dla CMS i wtyczek, a także dla firmware routera i urządzenia NAS.
2. Restart jest częścią procesu. Wiele aktualizacji działa dopiero po restarcie. Warto ustalić, że każdy restartuje urządzenie co najmniej raz w tygodniu, i nie odkładać restartu na tygodnie.
3. Urządzenia brzegowe w pierwszej kolejności. W przypadku urządzeń dostępnych z zewnątrz należy samodzielnie sprawdzać dostępność aktualizacji, na przykład raz w miesiącu, i instalować aktualizację bezpieczeństwa w ciągu kilku dni. Jeśli producent lub krajowy zespół reagowania na incydenty ostrzega przed aktywnym wykorzystywaniem podatności, aktualizację należy zainstalować tego samego dnia.
4. Jeden odpowiedzialny na urządzenie. W inwentarzu przy każdej pozycji należy zapisać, kto ją aktualizuje: Państwo, współpracownik, firma IT czy twórca strony internetowej. Jeśli nikt nie jest wpisany, nikt tego nie zrobi.
5. To, co niepotrzebne, należy usunąć. Wtyczka, która nie jest używana, stary laptop w szafie wciąż podłączony do sieci, strona testowa na subdomenie: należy je usunąć, wtedy nie trzeba ich też aktualizować.

W razie wątpliwości, czy aktualizacja czegoś nie zepsuje, warto najpierw wykonać kopię zapasową (moduł 6), a następnie zaktualizować oprogramowanie. Niewykonanie aktualizacji z obawy przed problemami niemal zawsze niesie większe ryzyko.

Koniec wsparcia: gdy aktualizacje przestają być wydawane

Każda wersja oprogramowania lub firmware ma swoją datę końcową. Po jej upływie producent nie wydaje już aktualizacji bezpieczeństwa. Nazywa się to końcem wsparcia (end of life, EOL). Urządzenie nadal działa i właśnie to jest zdradliwe: nikt niczego nie zauważa, podczas gdy każda nowa podatność pozostaje otwarta na zawsze.

Przykłady:

• Windows 10. Standardowe wsparcie zakończyło się 14 października 2025 roku. Później dostępne są już tylko aktualizacje zabezpieczeń w ramach programu ESU firmy Microsoft, z terminami zależnymi od sytuacji. Warto sprawdzić na stronie Microsoft, co dotyczy posiadanych urządzeń, i zaplanować przejście na wspieraną wersję lub inne urządzenie.
• PHP i inne języki używane na stronach internetowych. Każda wersja PHP otrzymuje aktualizacje bezpieczeństwa przez kilka lat. Jeśli strona działa na starej wersji, serwer może być bezpieczny, ale strona już nie.
• Routery, urządzenia NAS i kamery. Tanie urządzenia czasem otrzymują aktualizacje firmware przez zaledwie kilka lat, a czasem wcale. Zaleca się, aby przed zakupem sprawdzić, jak długo producent zamierza wspierać dane urządzenie, oraz wymieniać urządzenia, które nie otrzymują już aktualizacji.
• Wtyczki i motywy. Wtyczka, której twórca zakończył działalność, nie otrzymuje już poprawek. Warto poszukać zamiennika.

Jeśli czegoś nie można od razu wymienić, należy ograniczyć ryzyko: odłączyć urządzenie od internetu, umieścić je w osobnej sieci (lekcja 5.3) i nie dawać mu dostępu do ważnych danych.

Bezpieczna aktualizacja: tylko oficjalną drogą

Osoby atakujące nadużywają również słowa „aktualizacja”. Wyskakujące okno na stronie internetowej „Przeglądarka jest nieaktualna, pobierz aktualizację tutaj” albo wiadomość e-mail „zainstaluj aktualizację bezpieczeństwa z załącznika” to niemal zawsze złośliwe oprogramowanie. Prawdziwe aktualizacje pochodzą z systemu operacyjnego, sklepu z aplikacjami, funkcji aktualizacji w samym programie lub ze strony internetowej producenta. Nigdy nie pochodzą z linku w wiadomości e-mail ani z wyskakującego okna na przypadkowej stronie.

W praktyce: jak to wygląda

W przypadku pakietu hostingowego z DirectAdmin, takiego jak w WebOké, wersję PHP strony wybiera się w Select PHP version. Jeśli przed aktualizacją strony lub wtyczek potrzebna jest kopia zapasowa, można ją wykonać na przykład w Installatron za pomocą przycisku Back-up, dzięki czemu w razie problemów można przywrócić poprzednią wersję. U innych dostawców wygląda to podobnie: należy szukać opcji „wersja PHP” oraz funkcji kopii zapasowej lub wersji roboczej (staging) w swoim CMS.

W przypadku komputerów i telefonów funkcja aktualizacji znajduje się w ustawieniach systemu operacyjnego. W przypadku routera należy sprawdzić stronę zarządzania (adres podany jest w instrukcji lub na naklejce na routerze) albo aplikację dostawcy.

Podsumowanie

• Aktualizacja usuwa znaną podatność; po jej publikacji osoby atakujące skanują internet w poszukiwaniu tych, którzy zostają w tyle.
• Należy sporządzić inwentarz, obejmujący także router, NAS, drukarkę, kamery, stronę internetową i wtyczki, z odpowiedzialną osobą przy każdej pozycji.
• Automatyczna aktualizacja tam, gdzie to możliwe, restart jako stały element, urządzenia brzegowe w pierwszej kolejności i jak najszybciej.
• Koniec wsparcia oznacza: brak dalszych aktualizacji bezpieczeństwa. Trzeba wymienić urządzenie albo odłączyć je i odizolować.
• Aktualizacje tylko oficjalną drogą, nigdy przez wyskakujące okno ani wiadomość e-mail.

Quiz

Zadanie

Zadanie D5.1: Inwentaryzacja aktualizacji. Proszę sporządzić listę wszystkich urządzeń i oprogramowania, w tym routera, urządzenia NAS, drukarki, kamer, strony internetowej i wtyczek. Przy każdej pozycji należy zapisać wersję, czy włączone są automatyczne aktualizacje, kto jest odpowiedzialny i czy produkt jest nadal wspierany. Należy zaktualizować to, co zostało w tyle, i odpowiedzieć na pytania do refleksji.

Więcej informacji

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to w podobny sposób.

• Instrukcja DirectAdmin 14.1: Wybór wersji PHP (Select PHP version)
• Instrukcja DirectAdmin 13.6: Tworzenie i przywracanie kopii zapasowych w Installatron
• CERT Polska, poradniki dotyczące bezpieczeństwa: https://cert.pl/
• CERT Polska, zgłaszanie incydentów: https://cert.pl/
• ENISA, Europejska Agencja ds. Cyberbezpieczeństwa: https://www.enisa.europa.eu/
• Microsoft, cykl życia systemu Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro