Angripare försöker i stor skala utnyttja två kritiska säkerhetshål i programspråket PHP, som bland forskare kallas PHP2Shell. Det gör det möjligt att köra egen kod på webbservrar utan att logga in. Har du leverantörsportal, e-handel eller hemsida på WordPress, kan du drabbas.
Företagare måste uppdatera sin sajt efter miljontals angreppsförsök
PHP-projektet släppte rättade versioner på onsdagen och skriver att inget annat än en uppdatering ger fullt skydd.
Alexander Opel på cybersäkerhetsföretaget Eset säger enligt Handelsblatt om hur spritt PHP är:
PHP utgör grunden för omkring två tredjedelar av alla aktiva webbplatser i världen.
Publiceringsverktygen WordPress, Drupal och Joomla bygger på PHP, enligt SVT. När hackare i december 2021 angrep sårbara tillägg till WordPress hotades 820 000 sajter. Nu handlar det om miljontals webbplatser.
Under de tio timmarna innan bristerna offentliggjordes såg Cloudflare tusentals försök att utnyttja dem, enligt Reuters.
Matthew Prince, vd för Cloudflare, skrev sent på onsdagen på X om hur antalet sedan ökade:
Det steg till tiotusentals under de 45 minuterna efter tillkännagivandet, hundratusentals inom två timmar och miljoner nu.
Har du VPS behöver du uppdatera själv
Kunder med vanligt webbhotell behöver inte göra något själva, eftersom webbhotellet sköter PHP på sina servrar och installerar uppdateringarna, enligt kundinformation från svenska Admax och Oderland. Har kunden en egen virtuell server, en så kallad VPS, ligger ansvaret för operativsystem och PHP på kunden.
Kunden behöver då uppdatera operativsystemet och PHP och sedan starta om PHP-FPM eller webbservern, så att den nya versionen börjar användas, skriver det ena webbhotellet. Efteråt ska servern köra 8.5.12, 8.4.27, 8.3.36, 8.2.35 eller senare, eller ha Linuxdistributionens egen rättelse.
Stora risker för såväl e-handlare som myndigheter
Störst är risken för Apache-servrar med modulen mod_php, där ett angrepp har demonstrerats som kan utlösas innan webbplatsens egen kod hunnit köras, skriver PHP-projektet. Båda bristerna får 9,2 på allvarlighetsskalan CVSS, enligt projektets förhandsbesked.
Den tyska it-säkerhetsmyndigheten BSI bedömer risken som synnerligen hög och har gett den varningsnivå 3, orange, rapporterar ZDF. Redan före rättelsen stängde flera myndigheter och leverantörer sina tjänster i förebyggande syfte, skriver Handelsblatt.
KTH-professorn Pontus Johnson konstaterade år 2022 att it-system borde uppdateras så snabbt som möjligt, när Dagens PS skrev att Sveriges system enligt honom läcker som ett såll.
NCSC vill att organisationer inventerar sina PHP-system
Nationellt cybersäkerhetscenter uppmanar organisationer att installera uppdateringarna snarast och leta efter spår av intrång. Går det inte att uppdatera direkt, bör PHP-systemen skärmas av från internet, skriver myndigheten.
John Billow, chef för Nationellt cybersäkerhetscenter, säger på myndighetens webbplats:
Det viktigaste är att snabbt inventera vilka applikationer man har som använder PHP och uppdatera dem enligt leverantörens nu tillgängliga uppdateringar.
PHP-projektet uppdaterar inte längre version 8.1 och äldre, men projektets säkerhetsteam har tagit fram enklare rättningar även för 7.4, 8.0 och 8.1, enligt bulletinen. Version 8.2 får inga säkerhetsuppdateringar efter årsskiftet, om tio veckor, enligt PHP-projektet.
Läs även: USA:s order: Ambassadfamiljer ska lämna Saudiarabien
Läs även: Commerz Reals svenska solparker på 101 megawatt klara
