Två kritiska PHP-sårbarheter utsätter miljontals webbplatser för risk, säger säkerhetsföretag.

Två kritiska säkerhetshål i programmeringsspråket PHP har upptäckts av ett säkerhetsföretag. Bristerna påträffades redan i augusti och bedöms utgöra ett allvarligt hot mot miljontals webbplatser världen över. Enligt företaget har PHP:s utvecklingsteam underrättats och uppdateringar har tagits fram.

PHP är ett av de mest använda programmeringsspråken för webbutveckling och ligger i dag bakom en stor del av internet. Enligt branschuppskattningar används PHP på omkring tre fjärdedelar av alla webbplatser vars serverprogramvara är känd. Bland de mest välkända plattformarna som bygger på PHP återfinns WordPress, som driver en betydande del av världens sajter, liksom Joomla och Drupal. Det gör att sårbarheterna i praktiken har en enorm räckvidd, och även stora företag, e-handelsaktörer och myndigheter kan vara utsatta.

De båda bristerna har klassificerats som kritiska eftersom de kan utnyttjas för så kallad fjärrstyrd kodkörning. Det innebär att en angripare kan skicka specialskriven kod till en sårbar server och på så sätt ta kontroll över den. I värsta fall kan en angripare komma över känsliga data, installera skadlig programvara eller använda den drabbade servern som utgångspunkt för vidare attacker mot andra system i nätverket.

Bristerna rör framför allt hur PHP hanterar indata i kombination med vissa serverkonfigurationer. Liknande sårbarheter i PHP har tidigare visat sig vara särskilt farliga när språket används tillsammans med webbservrar som Apache och nginx i en så kallad CGI-uppsättning (Common Gateway Interface). I sådana miljöer kan felaktig tolkning av webbförfrågningar öppna dörren för angripare att köra godtycklig kod. En uppmärksammad liknande sårbarhet, CVE-2024-4577, utnyttjades av utpressningsgrupper kort efter att den blev känd, vilket illustrerar hur snabbt hotaktörer agerar när nya brister offentliggörs.

Säkerhetsföretaget bakom upptäckten har inte velat lämna ut detaljer om huruvida de aktuella bristerna redan utnyttjats i verkliga attacker. Rekommendationen är ändå tydlig: webbplatsadministratörer bör snarast uppdatera sina PHP-installationer till de senaste versionerna, där hålen har åtgärdats. För den som inte kan uppdatera omedelbart gäller det att kompensera med andra skyddsåtgärder.

För företag och organisationer som är beroende av webbplatser och webbtjänster innebär nyheten en påminnelse om vikten av att hålla programvara uppdaterad. Många sårbarheter som upptäcks i PHP och andra vanliga komponenter utnyttjas inom kort efter att de offentliggjorts, eftersom angripare snabbt kan utveckla automatiserade verktyg som söker av internet efter ouppdaterade system. Tiden mellan upptäckt och utnyttjande har blivit allt kortare under de senaste åren.

Den här typen av sårbarheter ligger också bakom en växande oro inom cybersäkerhetsbranschen. Många webbplatser kör fortfarande gamla versioner av PHP, ofta på grund av inkompatibilitet med befintliga teman, tillägg och annan programvara. Enligt uppgifter från webbanalysföretaget W3Techs har andelen webbplatser som använder utgångna PHP-versioner länge varit hög. Det gör att även en enda sårbarhet i PHP kan få mycket stora konsekvenser.

Det understryker vikten av att inte bara åtgärda de aktuella hålen, utan också se över de långsiktiga strategierna för underhåll av webbplatser. Att låta system gå med föråldrade versioner av en så grundläggande komponent som PHP innebär en ständigt ökande risk, särskilt i takt med att nya sårbarheter upptäcks.

Utöver de tekniska aspekterna väcker upptäckten frågor om hur webbutveckling i allmänhet hanterar säkerhet. PHP används i stor utsträckning av allt från små bloggar till stora e-handelsplattformar och offentliga verksamheter. En central sårbarhet kan därför få konsekvenser långt bortom enskilda sajter, och forskare har länge pekat på att tredjepartskomponenter utgör en allt viktigare attackyta.

Säkerhetsanalytiker rekommenderar att organisationer kartlägger vilka system som förlitar sig på PHP, säkerställer att automatiska uppdateringar är aktiverade där det är möjligt och övervakar loggar för tecken på misstänkt aktivitet. I miljöer där omedelbar uppdatering inte är möjlig kan tillfälliga skyddsåtgärder, som att begränsa åtkomst till känsliga funktioner, minska risken för angrepp.

Upptäckten av de två sårbarheterna är en påminnelse om att även väl etablerad programvara kan bära på allvarliga brister. Tills dess att alla drabbade system har uppdaterats bedöms hotbilden kvarstå. PHP-teamet arbetar enligt uppgift med att säkerställa att korrigeringarna når ut brett, men den verkliga utmaningen ligger hos varje enskild webbplatsägare: att genomföra uppdateringarna i tid.