Två kritiska säkerhetshål i PHP blev offentliga på onsdagseftermiddagen. Mjukvaran kör en stor del av världens webbplatser, och svenska it-säkerhetsexperter varnar för att attackerna kan avlösa varandra de kommande månaderna. Men paniken kräver en nyansering.
PHP är den programvara som bygger upp sidorna på de flesta webbplatser. Den syns aldrig för besökaren, men den finns under nästan allt: WordPress, Joomla, Drupal, Magento och Mediawiki, som driver Wikipedia.
Hur många sajter som berörs är oklart. De experter Aftonbladet talat med uppskattar tiotals, kanske hundratals miljoner.
Vad felen faktiskt är
Enligt PHP:s egen ändringslogg rör det sig om två rådgivningar om state corruption via bailout, åtgärdade i versionerna 8.4.27 och 8.5.12. Samma uppdatering städar undan en rad äldre brister i FPM, OpenSSL, SOAP och phar.
It-säkerhetsexperten David Jacoby beskriver bristen som mycket allvarlig och varnar för att den kan utnyttjas för obehörig åtkomst till system.
Det viktiga: hålet är inte nytt
Här finns en missuppfattning värd att reda ut. Sårbarheten uppstod inte på onsdagen. Den har legat i koden länge – ingen vet exakt hur länge.
Det som hände klockan 16 var att den blev publik. Och det är en paradox som gäller all säkerhetsuppdatering: rättningen avslöjar var felet satt. Den som läser koden i uppdateringen ser precis vad som var trasigt och kan börja leta efter sajter som inte hunnit uppdatera.
Karl Emil Nikka, också han it-säkerhetsexpert, sammanfattar det i Aftonbladet: ”Nu är katten ur buren.”
Före onsdagen var hålet farligt bara för den som redan känt till det. Efter onsdagen är det farligt för alla som inte uppdaterar. Risken har alltså inte uppstått – den har flyttat från ett fåtal till många.
Vad du behöver göra
Har du bara en vanlig dator och en telefon: ingenting. Det här drabbar inte din enhet. PHP körs på servrar, inte hos dig.
Driver du en webbplats – en bar, en dykskola, ett gästhus, en blogg – gäller två saker:
- Själva PHP-uppdateringen är ditt webbhotells jobb. Du kan inte göra den själv på ett delat konto. Hör efter hos dem om du inte sett något besked.
- WordPress och dina tillägg är ditt jobb. Logga in och uppdatera allt som har en uppdatering. Tillägg som inte underhållits på år är en större risk än den här nyheten.
Experterna rekommenderar också att tillfälligt stänga av webbtjänster som inte behövs.
En anmärkning om webbhotellen
Bor du i Thailand och har sajten hos en lokal leverantör är det värt att faktiskt kolla. Tiden från att en PHP-rättning släpps till att den finns på kundernas servrar varierar kraftigt mellan webbhotell – från timmar till aldrig.
Ett enkelt sätt att se vad du kör: fråga supporten rakt ut vilken PHP-version ditt konto använder, och när den senast uppdaterades. Får du inget rakt svar är det ett svar i sig.
Och håller it-världen andan?
Nej, inte riktigt. De som förvaltar servrar har en lång kväll framför sig, och de kommande månaderna lär visa försök att utnyttja hålet.
Men det här är ett återkommande förlopp, inte en unik händelse. Allvarliga brister i vanlig serverprogramvara upptäcks, rättas och offentliggörs flera gånger om året. Skillnaden den här gången är spridningen – PHP finns helt enkelt överallt.
För den enskilde läsaren är slutsatsen den vanliga och tråkiga: uppdatera det du äger, och ställ en fråga till den som sköter resten.
Av: Bernt Johansson
67 år lever i Thailand
