Två kritiska sårbarheter i PHP, som enligt säkerhetsbolaget Wiz används av omkring 70 procent av världens webbplatser, gör det möjligt att ta över servrar utan att logga in.
PHP-stiftelsen, som ansvarar för programmeringsspråket, hade arbetat i två månader med att hitta lösningar på buggarna. Tanken var att nå ut med en uppdatering till så många användare som möjligt samtidigt.
Läckte i förtid
Några leverantörer hade förvarnats för att kunna bygga in lösningarna i egna uppdateringar.
– Man vill ha det här koordinerade avslöjandet. För så fort informationen är ute så kan den som vill attackera lätt veta vad det var för problem och utnyttja dem, säger datasäkerhetsforskaren Alexandre Bartel vid Umeå universitet.
Men något gick snett. Redan den 17 oktober såg Amazon tecken på att någon försökte utnyttja sårbarheterna. Sedan började det cirkulera uppgifter på nätforum, ett säkerhetsföretag råkade publicera en video där de beskrev detaljer om sårbarheterna. Därefter skickade en leverantör ut sin fix i förtid.
– Det här borde aldrig ha hänt och folk borde ha tagit situationen mer på allvar, säger Bartel.
Läckorna har utsatt alla PHP-användare för risk.
– I dag går det så mycket snabbare att bygga kod som kan utnyttja en sårbarhet. Du säger bara till ett AI-system att ”här är sårbarheten, ge mig kod som utnyttjar den”. Du behöver inte lägga flera dagar på att förstå exakt hur den fungerar och sedan skriva koden, säger Bartel.
Kan ta år
I väntan på PHP-stiftelsens uppdatering på onsdagen stängde flera myndigheter och företag världen över sina sajter. Men frågan är om det skedde fort nog.
– De måste också leta efter tecken på om deras maskiner har äventyrats innan de slår på systemen igen, säger han.
Ibland kan en attack upptäckas direkt, om angriparen exempelvis väljer att stjäla data, kryptera information eller krascha sajten. Men de kan också ha utnyttjat tillfället till att plantera skadlig kod som ger tillgång till servern vid ett senare tillfälle.
– Man kan använda systemen i en senare attack mot andra system, säger Bartel.
Det kan också ta veckor, månader eller år innan alla som använder PHP har installerat uppdateringarna.
– Jag är säker på att attacker pågår i detta nu, att de som attackerar skannar hela internet för att försöka att utnyttja sårbara system, säger han.