Den här veckan tog universitet, myndigheter och kommuner i stora delar av världen ner sina webbplatser. Orsaken var en allvarlig brist i PHP, tekniken som driver de flesta webbplatser, WordPress inräknat. Här är läget i dag, vad vi har gjort och vad det betyder för dig.
Vad har hänt
Den 21 oktober släppte PHP-projektet akuta säkerhetsuppdateringar för två kritiska sårbarheter som fått namnet PHP2Shell. Bristerna har allvarlighetsgraden 9,2 av 10. De gör det möjligt för en angripare att köra egen kod på en webbserver utan att logga in.
Det som gör PHP2Shell ovanligt är var felet sitter. Det ligger inte i webbplatsen, utan i servern under den. Därför spelar det ingen roll hur välskött en WordPress-sajt är. Det enda som skyddar är att servern kör en uppdaterad version av PHP.
Angreppsförsöken kom snabbt. Enligt Cloudflare steg de från tiotusentals under de första 45 minuterna till miljontals inom ett dygn. Säkerhetsföretag har bekräftat att bristerna utnyttjas aktivt.
Läget i Sverige och i världen
-
Sverige: CERT-SE och Nationellt cybersäkerhetscenter uppmanar alla verksamheter att uppdatera skyndsamt och kontrollera sina system. KTH, Karolinska Institutet och Uppsala universitet stängde tjänster i förebyggande syfte. NCSC har hittills inte rapporterat att bristerna utnyttjats i Sverige.
-
Norden: I Norge stängdes inloggningstjänsten Feide tillfälligt. I Danmark påverkades bland annat skolplattformen Aula, och i Finland stängdes statens publika webbtjänster under uppdateringen.
-
Europa: Tyska BSI har höjt varningen till nivå 3 av 4. I Nederländerna togs bland annat DigiD och parlamentets webbplats ner.
- Övriga världen: Wikipedia stängde av funktioner under uppdateringen. Myndigheter och företag i Japan, Kina och Sydkorea har också tagit webbplatser offline.
De flesta nedstängningar har varit förebyggande. Organisationerna har stängt för att vinna tid, inte för att de har blivit hackade.
Det här har vi gjort tillsammans med Oderland
Våra kunders webbplatser ligger hos Oderland, en svensk hostingleverantör med egen drift. Vi har följt deras arbete tätt sedan bristerna blev kända.
-
21 oktober, förmiddag: Oderland aktiverade nya skyddsregler på alla servrar som blockerar kända angreppsförsök, och stängde av den funktion i PHP som en av bristerna utnyttjar.
- 22 oktober, klockan 04.05: Oderland bekräftade att samtliga PHP-versioner på deras webbhotell, Agency och Managed Server var uppdaterade och skyddade.
Servrarna var alltså patchade mindre än ett dygn efter att uppdateringen släpptes, och skyddsregler fanns på plats redan innan dess.
Ovanpå det gör vi vårt eget arbete, sajt för sajt:
-
Versionskontroll: Vi kontrollerar vilken PHP-version varje webbplats kör och stämmer av den mot Oderlands besked.
-
Intrångskontroll: Vi går igenom administratörskonton, filer och loggar från den 17 oktober och framåt, den dag de första angreppsförsöken observerades.
-
Uppgradering: Webbplatser som kört äldre PHP-versioner lyfts till en version med fullt säkerhetsstöd.
- Löpande bevakning: Vi följer CERT-SE, Oderland och PHP-projektet och agerar direkt om läget ändras.
Vad betyder det för dig
Om din webbplats förvaltas av oss behöver du inte göra något. Servern är uppdaterad och vi går igenom din sajt. Skulle vi hitta något hör vi av oss till dig personligen.
Vanliga frågor
Behöver jag uppdatera WordPress eller mina tillägg?
Nej, inte för den här bristen. Felet sitter i PHP på servern, inte i WordPress. WordPress säkerhetsteam har bekräftat att ingen WordPress-uppdatering behövs.
Min sajt visar PHP 8.2.34, inte 8.2.35. Är den skyddad?
Ja. Oderlands driftleverantör har byggt in rättningen i befintliga versioner, så versionsnumret kan skilja sig från det officiella fast skyddet är på plats.
Har någon av era kunder drabbats?
Vi har inte sett något som tyder på det. Genomgången är vårt sätt att veta, inte bara tro.
Vad ska jag göra om min webbplats inte förvaltas av er?
Fråga din leverantör vilken PHP-version servern kör och om den är uppdaterad mot PHP2Shell. Ett tydligt svar ska inte ta mer än några minuter. Hör gärna av dig till oss om du vill ha hjälp att bedöma svaret eller vill att vi tar över din drift.
Ta kontakt direkt med oss här: hej@dalarna.digital
Avslutningsvis
En sådan här vecka visar varför förvaltning är mer än ett avtal. Det handlar om att någon har koll när det faktiskt gäller. Det är det vi är till för.
