Säkerhetshål får myndigheter att stänga webbplatser

Två kritiska sårbarheter har identifierats i programmeringsspråket PHP. De gör det möjligt för angripare att exekvera skadlig kod på webbplatser och servrar utan att först logga in. Sårbarheterna bedöms som mycket allvarliga, inte minst eftersom PHP ligger bakom en stor del av världens webbplatser.

PHP, som ursprungligen stod för Personal Home Page, är i dag ett av de mest använda språken för webbutveckling. En stor andel av alla webbplatser körs på PHP, bland annat via publiceringsplattformen WordPress. Det innebär att säkerhetshålen berör en enorm mängd system världen över, från små bloggar till stora e-handelsplatser och offentliga tjänster. Risken handlar inte bara om att enskilda webbplatser kapas, utan om att servrar kan användas som startpunkt för vidare attacker, till exempel för att sprida utpressningsprogramvara eller stjäla känslig data.

En säkerhetsuppdatering släpptes klockan 16 på onsdagen. Nationellt cybersäkerhetscenter i Sverige uppmanar alla verksamheter att uppdatera sina system omgående. Den som inte har möjlighet att göra det bör enligt centret överväga att koppla bort berörda tjänster från internet i väntan på att uppdateringen kan genomföras.

– Kombinationen av frekvent användning och en allvarlig säkerhetsbrist gör förstås att det här är angeläget att fixa, säger Johan Ahlmark, kommunikatör vid Försvarets radioanstalt (FRA).

Han understryker att det är verksamheterna själva som måste bedöma hur de ska agera, eftersom de känner till sina egna nätverk bäst.

Alexandre Bartel, professor i programvaruteknik och datasäkerhet vid Umeå universitet, beskriver situationen som akut. Han säger att sårbarheterna blev kända först nyligen och att det fortfarande är en pågående situation. Hackare kan enligt honom använda de öppna säkerhetshålen för att plantera skadlig kod på vilken server som helst för att skada, stjäla eller komma åt känslig data eller avbryta tjänster.

– Från vad vi vet så här långt är sårbarheterna mycket kritiska, säger han.

Den största faran, menar Bartel, är att ansvariga inte kommer att hinna täppa till luckorna i tid. Erfarenheter från liknande sårbarheter visar att det kan ta allt från dagar till månader innan alla berörda system har uppdaterats.

Bakgrunden till problemet är inte unik. PHP är öppen källkod och utvecklas av ett globalt ekosystem av bidragsgivare. Många företag och offentliga organisationer har i dag bristfällig överblick över vilka system som använder PHP och vilka versioner som ligger ute på nätet. Det är en av de stora utmaningarna med den digitala infrastruktur som vuxit fram under flera decennier: system byggs lager på lager, och en enda sårbar komponent kan räcka för att fälla hela kedjan.

Den här typen av sårbarheter har dessutom en direkt marknadspåverkan. Hostingföretag och molnleverantörer måste agera snabbt för att skydda sina kunder. Större företag inom e-handel, media och bankväsende måste prioritera sina uppdateringar, ofta under hård tidspress. För mindre verksamheter, som inte sällan saknar en dedikerad säkerhetsavdelning, är läget ännu svårare. Många webbplatser kan komma att förbli sårbara i veckor, även efter att en officiell säkerhetsuppdatering har funnits tillgänglig.

För Sveriges del har Nationellt cybersäkerhetscenter en central roll i arbetet med att sprida information och samordna insatser. Att centret nu går ut med en uppmaning till alla verksamheter är ett tecken på hur allvarligt läget bedöms. Säkerhetscentret fungerar som en nationell samlingspunkt för cybersäkerhetsfrågor och stödjer bland annat myndigheter, kommuner och företag med operativ rådgivning.

Experter uppmanar också organisationer att inte enbart fokusera på själva uppdateringen. Det är minst lika viktigt att undersöka om system redan har utsatts för attacker. Sårbarheter av den här digniteten utnyttjas ofta snabbt, och spår efter intrång kan vara svåra att upptäcka. En noggrann genomgång av loggar och nätverkstrafik kan därför vara nödvändig, även för verksamheter som lyckas uppdatera i tid.

För vanliga internetanvändare är risken i första hand indirekt. Det är i regel webbplatsägare och systemadministratörer som bär ansvaret för att servrarna är säkra. Men eftersom PHP är så pass utbrett kan konsekvenserna märkas av långt utanför de direkt drabbade organisationerna. En komprometterad server kan till exempel användas för att lura besökare, sprida skadliga program eller störa tjänster som många människor är beroende av i vardagen.

I takt med att allt fler samhällsfunktioner digitaliseras lär frågor om sårbarheter i öppen programvara bli allt viktigare. Det ligger i sakens natur att ett språk som PHP, som är gratis och används över hela världen, också blir ett attraktivt mål för cyberkriminella. Det ställer krav på både tekniska åtgärder och långsiktigt säkerhetsarbete – inte minst på att de som ansvarar för systemen tar hotet på allvar innan nästa allvarliga sårbarhet blir känd.