Detaljer har blitt publisert om en kritisk feil i programmeringsspråket PHP, som er ryggraden i mer enn 70 % av alle nettsteder. Hvis feilen ikke fikses, vil den gjøre det mulig for hackere å enkelt ta over og kompromittere millioner av nettsteder og informasjonen som lagres på serverne deres. Som svar flere europeiske myndigheter og operatører, inkludert Rotterdam havn, tatt nettsteder offline.
Det australske signaldirektoratet, det amerikanske cyberforsvarsbyråetog lignende organer fra Storbritannia, Europa og Japan har alle advart nettutviklere om å oppdatere kjernesystemene sine raskt, og vurdere å ta ned nettsteder inntil sikkerheten kan garanteres.
Organisasjonen bak det gratis språket med åpen kildekode har publisert oppdateringer som retter feilen, men det vil ta tid å utføre oppdateringene på de millioner av systemene som bruker PHP.
Hva er PHP?
PHP kalles ofte «ryggraden i nettet». Det er et programmeringsspråk – en måte å gi instruksjoner til datamaskiner – som har eksistert siden 1997, og det lar nettsteder administrere brukerinndata og behandle informasjon bak kulissene.
Kraften til PHP ligger i allsidigheten. Nettsteder bruker det til alt fra å logge brukere inn på kontoer og drive nettbutikker, til å be om data fra databaser og drive millioner av blogginnlegg og nyhetssider.
PHP kjører på serveren i stedet for din personlige datamaskin. Dette betyr at de fleste av oss samhandler med PHP hver eneste dag uten å noen gang se det.
En tidslinje over bekymringer
I august brukte en nettsikkerhetsforsker fra et selskap kalt Wiz sine egne verktøy og de nyeste versjonene av Googles Gemini og OpenAIs ChatGPT AI-modeller for å tråle gjennom PHPs enorme kodebase.
Wiz-teamet lette etter skjulte programmeringssvakheter som en angriper kunne koble sammen for å ta over et system som kjører PHP, ganske enkelt ved å sende en nøye utformet forespørsel over internett.
I løpet av få dager fant de måter å bryte seg inn i PHP-drevne systemer fra Drupal og WordPress , som brukes i store deler av nettet.
Wiz kontaktet PHP-sikkerhetsteamet for å informere dem om feilene de hadde funnet. I slutten av september bekreftet PHP-utviklerne at problemet eksisterte, og begynte i stillhet å jobbe med en løsning.
Innen nettsikkerhet er det ansvarlige å gjøre når du finner en feil å holde den privat inntil en oppdatering er klar. Dette er fordi offentliggjøring kan gi et detaljert kart som hackere kan utnytte.
Dette ser ut til å være det PHP-utviklerne planla. I går slapp imidlertid en bruker på det populære bransjenettstedet Hacker News nyheten om sikkerhetsfeilene før noen oppdateringer var klare.
Etter lekkasjen hastet PHP-utviklerne med å bekrefte problemet offentlig 21. oktober, og ga ut nødoppdateringer før planen.
Det er langt fra enkelt å implementere oppdateringene. Fordi PHP ligger under tusenvis av tredjeparts plugins, rammeverk og administrerte hostingtjenester, er nettsteder bare sikre når hvert enkelt lag i forsyningskjeden integrerer og distribuerer PHP-reparasjonen.
Hvorfor skjer dette stadig?
Mye av internett er bygget på grunnleggende teknologier som ble utviklet og vedlikeholdt av hobbyutviklere. Mange er avhengige av velvilje og donasjoner snarere enn robust bedriftsfinansiering.
Mange av disse verktøyene ble først utviklet for flere tiår siden. De ble aldri designet for å trygt støtte en verden der millioner av nettsteder og milliarder av enheter bruker dem til å håndtere sensitive og private data.
Dette problemet forverres av det faktum at vedlikehold sjelden er en prioritet for organisasjoner. Altfor ofte har bedrifter bare den mest grunnleggende kunnskapen om alle delene av forsyningskjedene sine – enten fysiske eller digitale.
Selv i høyprofilerte saker som denne, er det mange bedrifter som ikke engang klar over hvilken programvare de er avhengige av, langt mindre har noen anelse om hvor sikker den faktisk er.
Hva bør du gjøre?
Dette problemet gjelder hovedsakelig folk som vedlikeholder nettsteder eller administrerer teknisk infrastruktur. For disse menneskene er prioriteten klar: oppdater systemer umiddelbart når oppdateringer er tilgjengelige, og vurder å ta ned kritiske systemer fra internett til du kan være trygg på sikkerheten deres.
For vanlige internettbrukere påvirker disse sårbarhetene serverne som er vert for nettsteder, snarere enn din personlige enhet. Men fordi noen nettsteder kan bli midlertidig kompromittert før de kan oppdateres, er det lurt å være forsiktig med å legge inn sensitive personopplysninger på ukjente nettsteder i løpet av de neste dagene.
Store skyleverandører og sikkerhetsfirmaer ruller ut nødfiltre, men den globale kampen for å sikre nettet har bare så vidt begynt.
Nettsikkerhetsteam over hele verden jobber iherdig med å begrense skadene. Men omfanget av dette problemet burde være en vekker.
Myndigheter og bedrifter kan ikke ignorere robustheten til sine digitale forsyningskjeder. Akkurat som produsenter sporer leverandørene av de fysiske komponentene de er avhengige av, bør vi forvente at digital infrastruktur også sporer alle systemer og rammeverk den er avhengig av.
Å samle inn denne informasjonen er det første skrittet for bedrifter og myndigheter for å virkelig forstå hvor sterkt deres digitale levedyktighet er avhengig av underfinansiert, frivillig vedlikeholdt kode. Inntil bedrifter behandler finansiering av grunnleggende verktøy med åpen kildekode som en kritisk sikkerhetsinvestering snarere enn en veldedighet, vil disse sårbarhetene fortsette å forekomme.
Andrew Cullen, gjesteforsker, School of Computing and Information Systems, University of Melbourne.
Denne artikkelen er publisert på nytt fra The Conversation under en Creative Commons-lisens. Les den opprinnelige artikkelen.
