Kamp mot klockan när säkerhetshålet ska lagas

Två allvarliga säkerhetshål har upptäckts i PHP, ett av de mest använda programmeringsspråken för webben. Nationellt cybersäkerhetscenter (NCSC), som är en del av Försvarets radioanstalt (FRA), har gått ut med ett så kallat blixtmeddelande med rekommendationer till svenska myndigheter, institutioner och företag. Sedan dess har it-säkerhetsavdelningar världen över arbetat under hårt tryck.

PHP är ett öppet programmeringsspråk som funnits sedan början av 1990-talet och som i dag ligger bakom en övervägande majoritet av världens webbplatser. Det används bland annat i det mycket spridda publiceringssystemet WordPress, men också i en rad andra webbplattformar och tjänster. Den breda användningen gör att sårbarheten får långtgående konsekvenser.

David Jacoby, it-säkerhetsexpert på det svenska företaget Syndis, säger att fokus nu ligger på att göra den säkerhetsuppdatering som krävs. Men det handlar också om att identifiera var i systemen PHP används.

– Det kan finnas på väldigt många platser, säger han.

Enligt Jacoby har svenska myndigheter och stora företag varit snabba med att åtgärda problemen. Samtidigt återstår mycket arbete för en stor del av internet, där man ännu inte hunnit åtgärda det som krävs. En särskild utmaning är alla inköpta tjänster och den hårdvara som finns i nätverken – exempelvis brandväggar och routrar – eftersom även de kan köra PHP.

– Utöver webbtjänster och hemsidor påverkar det även fysiska prylar som så kallade smarta apparater: laddboxar, hemmarouters, skrivare, övervakningskameror och medicintekniska system som kör det utsatta språket, säger David Jacoby.

För många organisationer innebär sårbarheterna ett omfattande inventeringsarbete. PHP finns ofta inbäddat i system som inte omedelbart förknippas med programmeringsspråket, vilket gör att säkerhetsarbetet tar tid. Handlar det om produkter från underleverantörer är organisationen dessutom beroende av att tillverkaren själv släpper en uppdatering – något som kan dröja.

Sårbarheten belyser också en bredare trend inom it-säkerhet: den snabba digitaliseringen gör att allt fler enheter och tjänster är beroende av samma grundkomponenter. När en sådan komponent brister drabbas en lång rad verksamheter samtidigt, från e-handel till samhällskritisk infrastruktur.

Problemet förvärras av att den säkerhetsuppdatering som släpptes i går också innehåller ritningarna för vad som har åtgärdats. Det gör att cyberkriminella och hackare kan använda uppdateringen för att bygga verktyg som utnyttjar sårbarheten.

– Det blir en katt-och-råtta-lek. Den som inte kan uppdatera sina system direkt bör stänga av tillgången till sina system, säger David Jacoby.

De allvarliga säkerhetshålen innebär att det varken krävs användarnamn eller lösenord för att ta sig in i berörda system.

– Det är som att 70 procent av alla dörrar står olåsta. Du behöver inte ens en kofot för att ta dig in, säger han.

Den fulla omfattningen av skadorna kommer att märkas först i efterhand. Historiskt sker intrång långt innan konsekvenserna av ransomware eller dataläckor på darkweb blir synliga.

– Det enda vi vet just nu är att det uppenbarligen kommer att ställa till bekymmer, fortsätter David Jacoby.

För vanliga användare gäller det att vara på sin vakt. Jacoby uppmanar till att byta användarnamn och lösenord på webbtjänster, så att en dataläcka från en hackad sajt inte leder till intrång på andra konton.

Nationellt cybersäkerhetscenter, som har till uppgift att stödja svenska organisationer i cybersäkerhetsarbetet, följer utvecklingen noga under dagen. De organisationer som inte lyckas installera säkerhetsuppdateringen omgående uppmanas att isolera systemet från internet tills det är åtgärdat.

– Under tiden gäller för systemägarna att söka efter tecken på intrång eller annan misstänkt aktivitet, säger Ola Billger på FRA.

Sårbarheten beskrivs som allvarlig och har fått betyget 9,2 på en tiogradig skala, enligt Computer Sweden. Den vanliga medborgaren behöver dock inte vara orolig. Men alla bör vara försiktiga med vilka uppgifter de delar med sig av på internet. Det är organisationerna som ansvarar för att säkerhetsuppdatera PHP, enligt Ola Billger.

– Till exempel banktjänster har en helt annan säkerhetsnivå och påverkas sannolikt inte av detta, säger han.

Däremot kan webbsidor där den enskilde har lämnat uppgifter om användarnamn, lösenord och kontokortsnummer vara utsatta.