To kritiske sikkerhedshul i PHP – det programmeringssprog der driver langt størstedelen af verdens websites – får sikkerhedspatch i dag. PHP-udviklerne har givet sårbarhederne en alvorlighed på 9,2 ud af 10 og advarer om, at de kan få alt fra små blogs til store webshops til at styrte sammen eller blive hacket.
Patchen ventes frigivet kl. 10 om morgenen amerikansk tid, men udviklerne kan slippe det tidligere hvis detaljer om sårbarheden bliver offentliggjort eller hvis der er tegn på aktive angreb. PHP-brugere opfordres til at “opdatere så snart udgivelsen er tilgængelig.”
Sårbarheden handler om Remote Code Execution – det betyder at angribere kan få deres egen kode til at køre på ofrets server. Dermed kan de ændre websites, stjæle data og meget mere. Sikkerhedsfirmaet watchTowr siger sårbarhederne påvirker alle PHP-versioner fra version 5 og frem.
Over en million servere potentielt påvirket
Omfanget af problemet er enormt. En sikkerhedsforsker vurderer at over 1,3 millioner internetforbundne værter er sårbare. Men tallet bliver endnu større når man kigger på WordPress – som ifølge eget udsagn driver over 40 procent af internettet. WordPress kører på servere med PHP, så potentielt er millioner af websider i fare.
Wordfence, som udvikler sikkerhedsplugin til WordPress, påpeger at denne patch ikke kan installeres via automatiske opdateringer. Webstedernes ejere må manuelt få opdateret PHP – og mange ved sandsynligvis ikke hvem der er ansvarlig for det.
Luk servere ned som øjeblikkelig løsning
EU’s computerombudsmand (CERT-EU) og UK National Cyber Security Centre anbefaler virksomheder som ikke kan patche øjeblikkeligt at isolere deres internetvendte applikationer fra offentlige netværk – eller helt lukke dem ned indtil sårbarheden er løst.
GrapheneOS, udvikler af et sikkerhedsfokuseret mobiloperativsystem, har allerede lukket deres brugerforums online. “Vi er ikke villige til at tage risikoen” siden proof-of-concept exploits allerede bliver udviklet, skriver de.
PHP-udvikler Gina Peter Banyard siger klart at patching er det eneste reelle forsvar. Ellers “kunne det være det mest fornuftige at gøre – at slukke serverne.”
Masseangrebet forventes meget hurtigt
Trusselforskere ved Sansec forventer at se “masseangrebet inden for 15 minutter efter udgivelsen.” Men angriberne venter ikke passivt. Cloudflare’s CTO Dane Knecht siger de allerede ser “tidlige angreb dukke op” mod deres PHP-sider. Cloudflare har som midlertidig løsning opdateret deres firewall-regler for at beskytte mens fix ventes.