To kritiske sikkerhedshuller i programmeringssproget PHP førte onsdag til omfattende nedbrud på danske og internationale hjemmesider. Sikkerhedsfirmaerne Calif og Wiz identificerede sårbarhederne allerede for to måneder siden – og Calif brugte kunstig intelligens fra OpenAI til at opdage fejlene.
I Danmark ramte nedbruddet blandt andet Aula, Københavns Kommune, Vejdirektoratet og Det Meteorologiske Institut (DMI). Onsdag aften aktiverede Danmark’s krisestab – Den Nationale Operative Stab (Nost) – informationsberedskab som reaktion på sikkerhedsbristerne. Det oplyste Ministeriet for Samfundssikkerhed og Beredskab til TV 2.
PHP er fundamentalt for internettet som vi kender det. Sproget driver hjemmesider, webshops og portaler verden over, og sårbarheder i det påvirker dermed millioner af digitale platforme. OpenAI skriver på sin hjemmeside, at selskabet siden august har stået i spidsen for en koordineret indsats for at udbedre problemerne.
Massiv koordinering blandt sikkerhedsfirmaer og tech-virksomheder
Opdekkelsen af PHP-hullerne blev håndteret gennem en usedvanlig koordineret bevægelse blandt sikkerhedsfaktorer. OpenAI oplyser: «De seneste to måneder har vi stået i spidsen for en koalition af vedligeholdere, forskere og sikkerhedsleverandører for at afhjælpe kritiske sårbarheder i PHP. PHP’s vedligeholdere ledede arbejdet med rettelserne og udgivelsen, mens vores teams og partnere som Wiz, Cloudflare og andre bidrog med forskning, teknisk støtte og koordinering for at forberede beskyttelse inden offentliggørelsen.»
Wiz opdagede sårbarhederne uafhængigt af Calif. Cloudflare, som OpenAI nævner som partner, er en amerikansk virksomhed, der leverer infrastruktur-ydelser til millioner af hjemmesider globalt og har således interesse i at mindske sårbarheder på tværs af nettet.
OpenAI selv værdsætter alvoren: «På grund af fejlenes alvor og PHP’s store udbredelse betragter vi dette som et af de mest vidtrækkende sikkerhedsproblemer i nyere tid.»
Tidspress og hackeraktivitet før patch blev frigivet
PHP-udviklerne identificerede de to kritiske sikkerhedshuller tirsdag, men først onsdag klokken 13.45 kunne de fremlægge en opdatering, der lukkede hullerne. I det mellemliggende tidsvindue var der ifølge Reuters meldinger om, at hackere forsøgte at udnytte sårbarhederne aktivt.
Denne kortfattede tidsmængde mellem bekendtgørelse og patch-frigivelse fik offentlige myndigheder i en lang række lande til at lukke ned for deres hjemmesider som defensiv foranstaltning. I Danmark blev Nost aktiveret på sit laveste krisestabniveau ud af tre trin – et tegn på, at situationen blev taget seriøst på højeste niveau blandt danske kriseberedskabsmyndigheder.
Historien illustrerer både hvor afhængigt den digitale verden er af få centrale infrastruktur-komponenter, og hvor afgørende tiden er, når sikkerhedshullerne først bliver offentligt kendt. Den viser også, hvordan kunstig intelligens gradvist bliver integreret som værktøj i sikkerhedsarbejde – selv når det handler om at finde fejl i det software, som alt andet bygger på.