Svensk minister uppmanar organisationer att agera omedelbart på kritiska PHP-sårbarheter

Sveriges minister för civilt försvar, Carl-Oskar Bohlin (M), uppmanar nu berörda organisationer att agera omedelbart med anledning av allvarliga IT-sårbarheter som kan hota ett stort antal webbplatser. Budskapet är tydligt: väntan kan bli dyrbar.

De aktuella sårbarheterna är av sådan karaktär att de kan utnyttjas på distans, vilket gör att attackytan är stor. Exakt vilka system som berörs framgår inte av uttalandet, men myndigheter och företag med webbaserade tjänster uppmanas att skyndsamt gå igenom sina system. Sårbarheter i programvara som används brett, exempelvis i innehållshanteringssystem eller webbplattformar, kan i värsta fall leda till att angripare får kontroll över servrar och kan stjäla data eller slå ut tjänster.

Bohlins uppmaning ska ses mot bakgrund av ett allt tuffare säkerhetsläge. Den svenska beredskapen har under flera år byggts upp efter en period av nedmontering efter kalla kriget. I dag är frågan om cyberhot högt prioriterad inom både civilt och militärt försvar.

Myndigheten för samhällsskydd och beredskap (MSB) har en central roll i arbetet med att identifiera och kommunicera hot. I flera fall har MSB gått ut med liknande varningar, men när en minister personligen väljer att uttala sig tyder det på att allvaret bedöms som extra högt.

En av utmaningarna med den här typen av sårbarheter är att många organisationer inte har full koll på vilken programvara som används i verksamheten. Särskilt utsatta är mindre kommuner, regioner och företag som saknar dedikerade säkerhetsteam. Även om de flesta stora aktörer har rutiner för att hantera säkerhetsuppdateringar visar erfarenheten att det ofta är tredjepartsleverantörer och underleverantörer som blir ingången för angripare.

Internationellt har liknande sårbarheter utnyttjats mycket snabbt efter att de blivit kända. Angripare automatiserar ofta processen och skannar hela internet efter utsatta system inom loppet av timmar. Det innebär att tiden mellan att en sårbarhet offentliggörs och att den faktiskt utnyttjas har kortats dramatiskt de senaste åren.

För svenska myndigheter och företag innebär det att uppmaningen om att agera omedelbart inte är en överdrift. Att vänta med att åtgärda allvarliga sårbarheter har i flera uppmärksammade fall lett till omfattande intrång med stora ekonomiska och förtroendemässiga konsekvenser.

Samtidigt finns det en bredare fråga om resurser. Flera kommuner och myndigheter har under lång tid rapporterat om svårigheter att rekrytera IT-säkerhetspersonal. Konkurrensen om kvalificerade säkerhetsexperter är hård, både nationellt och internationellt. Det skapar en sårbarhet i sig, eftersom organisationer kan ha identifierat problem men sakna kapacitet att åtgärda dem i tid.

Marknaden för IT-säkerhetstjänster har vuxit kraftigt under 2020-talet, och allt fler företag erbjuder hanterade säkerhetstjänster. Men även kommersiella aktörer kämpar med att hitta personal, vilket har drivit upp kostnaderna. För mindre budgetstyrda verksamheter som skolor och äldreomsorg kan det vara svårt att motivera satsningar på cybersäkerhet när pengarna behövs till kärnverksamheten.

Regeringen har under de senaste åren presenterat flera satsningar på cybersäkerhet, bland annat genom att stärka MSB:s uppdrag och genom att utreda nya regler för rapportering av IT-incidenter. EU:s direktiv om nätverks- och informationssäkerhet (NIS2) kommer också att ställa nya krav på ett stort antal svenska verksamheter, och arbetet med att anpassa svensk lagstiftning pågår.

För den som ansvarar för en webbplats eller digital tjänst är rekommendationen enkel men viktig: se över systemloggar, kontrollera att alla programvaror är uppdaterade och prioritera åtgärder för de system som är mest kritiska. Incidentrapportering ska ske enligt fastställda rutiner och kontakt med leverantörer bör tas omgående om något avvikande upptäcks.

Bohlin har inte gett några detaljer om vilka tekniska produkter som berörs, men uttalandet skickar en signal om att läget är på allvar. För svenska organisationer handlar det nu om att inte underskatta hotet. Erfarenheten från tidigare sårbarheter visar att det ofta är de som agerar snabbt som klarar sig undan med minst skada.