Myndigheter och företag världen över släckte sina sajter på onsdagen för att inte riskera att hackas, sedan sårbarheterna blivit kända.
– Det är en av de allvarligaste incidenterna i hela mjukvaruhistorien, säger Yang Xiang, AI- och cybersäkerhetsprofessor vid Monash University, till TT.
Sårbarheterna upptäcktes av säkerhetsföretagen Calif och Wiz med hjälp av AI.
AI-modeller kan användas för att hitta säkerhetshål som kan ha legat dolda i många år. Det som gör de aktuella buggarna allvarliga är att de finns i ett programmeringsspråk som bedöms användas till omkring 70 procent av världens hemsidor, enligt Wiz.
Såg problem 2024
Sårbarheterna handlar om minneshantering respektive felhantering och kan göra det möjligt för en angripare att komma åt en server – där webbplatsen eller -platserna ligger – utan användarnamn eller lösenord.
Enligt Yang Xiang är själva mekanismen bakom sårbarheterna känd sedan tidigare.
– Folk har alltså redan känt till den här typen av sårbarheter, och det betyder att det finns ett tidsfönster då system kan ha komprometterats.
Tekniker på stiftelsen som förvaltar PHP-språket hade redan 2024 sett de första tecknen på att minneshanteringssårbarheten skulle kunna leda till problem, men man hittade inte några konkreta sätt som den skulle kunna utnyttjas på och det fanns andra problem som var mer akuta.
I augusti och september uppmärksammades PHP-stiftelsen av cybersäkerhetsföretagen om sårbarheterna, och sedan dess har de varit högsta prioritet, skriver stiftelsen. Det faktum att problemen är i så centrala delar av PHP är ”vad som gör sårbarheterna allvarliga, och också så svåra att fixa utan att bryta kompatibiliteten, försämra prestandan eller tvinga fram ändringar i det stora ekosystemet av tredjepartstillägg”.
Uppgifter läckte i förtid
Planen var att en uppdatering av PHP skulle släppas på torsdagen. Men då blir även sårbarheterna kända för hackare, så vissa företag och leverantörer var varslade. Men uppgifterna läckte i förväg, innan uppdateringen var släppt. Matthew Prince, vd för nätinfrastrukturjätten Cloudflare, skriver på X att man bara några timmar efter att bristerna blev kända hade sett miljontals angreppsförsök.
PHP tidigarelade sin fix och skickade ut den på onsdagseftermiddagen.
Nationellt cybersäkerhetscenter uppmanar alla som ansvarar för sajter som använder PHP att uppdatera sina system omgående – eller koppla bort dem från internet.
Fakta: Vad är PHP?
PHP stod från början för ”Personal Home Page”. Det är ett programmeringsspråk som många populära hemsidor bygger på.
Programmeringsspråket skapades för drygt 30 år sedan med målet att det skulle vara lätt att göra hemsidor. PHP kombineras med html-kod och sänkte tröskeln för att skapa mer avancerade hemsidor. Html är den sorts kod, eller språk, som alla hemsidor byggs upp av.
Många stora innehållshanteringssystem (Content Management Systems, CMS) och bloggverktyg som Wordpress, Joomla och Drupal är byggda i PHP.
Sårbarheterna gör förenklat att en hackare utan att logga in kan skicka ett illasinnat anrop till utsatta servrar för att ta kontroll över dem och den information som ligger där.