FRA: Inga tecken på stora angrepp ännu

Flera svenska verksamheter har stängt ner sajter och webbtjänster i förebyggande syfte efter att två kritiska sårbarheter upptäckts i PHP, ett av världens vanligaste programmeringsspråk för webbplatser. Sårbarheterna blev kända under onsdagen och kan utnyttjas av angripare för att köra skadlig kod på drabbade system. Det bekräftar Ola Billger, kommunikationschef vid FRA (Försvarets radioanstalt).

– Vi har följt det här noga under hela dagen. Vi har svarat på en mängd frågor, säger han.

Nationellt cybersäkerhetscenter (NCSC), som är en del av FRA, har uppmanat organisationer att agera skyndsamt och installera tillgängliga säkerhetsuppdateringar. Sårbarheterna bedöms som kritiska eftersom PHP används i en mycket stor del av världens webbplatser och webbapplikationer. Språket körs på serversidan och ligger bakom allt från mindre företagssajter till stora e-handelsplattformar och publiceringssystem.

För en angripare innebär svagheterna en möjlighet att skicka särskilt utformade förfrågningar till en sårbar server och därmed få kontroll över den. Väl inne kan angriparen stjäla känsliga uppgifter, installera utpressningsprogram eller använda servern för nya attacker. Allvarligheten förstärks av att det ofta är upp till varje organisation att se till att uppdateringar installeras i tid.

De aktuella sårbarheterna har fått internationell uppmärksamhet. Säkerhetsföretag och webbhotell runtom i världen har varnat sina kunder, och många organisationer arbetar nu med att kartlägga var PHP används. Samtidigt har uppdateringar börjat rullas ut, men alla installationer kan inte åtgärdas över en natt.

Flera verksamheter har enligt Billger valt att stänga ner sina webbplatser och webbtjänster som en försiktighetsåtgärd medan de åtgärdar hålen. Det är en åtgärd som minskar risken att utsättas innan säkerhetsuppdateringarna finns på plats.

– Det är svårt att se konsekvenserna av en sån här stor sårbarhet så här tidigt. Men vi har inte sett, just nu i varje fall, några stora intrång mot svenska webbplatser ännu, säger Ola Billger.

Trots att inga stora intrång rapporterats är hotet långt ifrån över. Erfarenheten från tidigare allvarliga sårbarheter i vanliga programkomponenter visar att angripare snabbt försöker utnyttja nyupptäckta hål. Ett tydligt exempel är Log4j-sårbarheten som upptäcktes 2021 och under en lång period orsakade problem världen över.

– Det är självklart att en sådan här stor sårbarhet kommer att utnyttjas. Det är en kamp mot klockan mellan de som vill täta säkerhetshålet och de som vill utnyttja det, säger Billger.

NCSC rekommenderar därför organisationer att undersöka sina system efter tecken på intrång eller misstänkt aktivitet. Enligt Billger bör granskningen omfatta de senaste dagarna eller upp till en vecka tillbaka i tiden. Dessutom gäller det att vara extra vaksam i samband med att sårbarheten blir allt mer känd.

– Jag tycker man ska titta tillbaka några dagar eller en vecka. Framför allt ska man vara vaksam framöver, säger han.

Svenska verksamheter sköter sig i stort sett bra, enligt Billger. Den bild han ger är att många lyssnar på rekommendationerna och tar hotet på allvar.

– Vår bild är faktiskt att svenska verksamheter lyssnar på de här rekommendationerna.

Sårbarheterna i PHP väcker också frågor om den snabba digitaliseringen och beroendet av öppen programvara. PHP utvecklas och underhålls av en stor community, men det är ofta den enskilda organisationen som ansvarar för att hålla systemen uppdaterade. I takt med att cyberhoten blir mer avancerade ställs allt högre krav på både tekniskt underhåll och incidentberedskap.

För många företag blir den omedelbara åtgärden att stänga ner tjänster, installera uppdateringar och gå igenom loggar. I ett längre perspektiv handlar det om att bygga in säkerhet i hela kedjan – från kodutveckling till drift. Inte minst gäller det att ha en tydlig plan för hur man agerar när nästa allvarliga sårbarhet blir känd.

De närmaste dagarna lär därför bli intensiva för många IT-avdelningar i Sverige. Myndigheter, kommuner och företag arbetar nu parallellt med att skydda sina system och utreda om några attacker hunnit ske. Det är en påminnelse om att ett enda hål i en grundläggande byggsten på webben kan få snabba och långtgående konsekvenser.