Europas cyberberedskab har opfordret hjemmesider, der ikke kan opdatere to kritiske PHP-sårbarheder, til at overveje at gå offline. Begge fejl kan give angrebsmænd fuld kontrol over webservere uden login.
PHP ligger bag en stor del af nettet, fra WordPress blogs til Magento webshops. Men oplysninger om begge sårbarheder blev lækket online, før opdateringerne var klar.
Angribere fik et forspring
Lækket dukkede op den 20. oktober, før den planlagte offentliggørelse, rapportrede Huntress. PHP Foundation’s sikkerhedsteam satte derfor udgivelsen til den 21. oktober kl. 14:00 UTC.
Sikkerhedsfirmaet watchTowr har efterfølgende genskabt én af de to fejl ifølge Huntress. Huntress selv sagde, at de ikke havde set angreb hos deres kunder.
Derimod sagde Cloudflares teknologichef Dane Knecht, at angreb allerede er begyndt. Hans virksomhed har aktiveret firewallregler mod de kendte angrebsveje for alle kunder, også gratisbrugere.
Vi ser de første angreb dukke op og opdaterer løbende vores begrænsninger, når nye metoder viser sig. Det er kun en midlertidig løsning.
Knecht delte advarslen i et opslag på X.
Det Europæiske Agentur for Computer Emergency Response Team (CERT-EU) og Australiens cybersikkerhedscenter advarede begge om, at PHP-sårbarhederne kan ramme alle PHP-versioner fra version 5 og frem, skrev Reuters.
Nogle eksperter forventer kun opdateringer til PHP 8-versioner som stadig understøttes, bemærkede Huntress. Det kan betyde, at hjemmesider på ældre, ikke-understøttede versioner ikke får en opdatering.
Advarslen kommer få uger efter, at mere end 100 virksomheder advarede om stigning af AI-cyberangreb på kort tid.
Hvad PHP-sårbarheder betyder for hjemmesideejere
PHP kører på cirka 69% af alle hjemmesider, hvor serverside-sproget er kendt, viser tal fra W3Techs. WordPress driver alene omkring 40% af verdens hjemmesider.
CERT-EU sagde, at 9,2 i alvorlighed betyder uautoriseret fjernudførelse af kode. Med andre ord kan en ekstern angriber køre ondsindet kode på en server uden login-oplysninger.
Webhotellet GoDaddy advarede om, at angrebsmænd kan stjæle data, ændre hjemmesider eller overtage hele systemer. Stjålne data har værdi, som hackerangreb mod sydkoreanske banker viste.
Sikkerhedsplugin’et Wordfence bemærkede, at alle WordPress-hjemmesider kører på en PHP-server. Alligevel vil WordPress’ automatiske opdateringer ikke løse PHP-sårbarhederne. Derfor skal ejere undersøge, hvem der administrerer PHP for dem.
Angreb på vital infrastruktur breder sig fortsat, som franske supermarkeders frysediske-fiasko viste i oktober. De nye PHP-sårbarheder flytter nu presset til softwarelaget under store dele af nettet, hvor en enkelt glemt serveropdatering kan åbne døren for angreb.
