Säkerhetsexperter har upptäckt två allvarliga säkerhetsbrister i PHP, ett programmeringsspråk som driver många webbplatser på internet, och varnar nu för att berörda webbplatser kan behöva tas ur drift under onsdagen. Bristerna kan göra det möjligt för en angripare att köra skadlig kod på en sårbar webbserver utan att behöva logga in.
Enligt CVSS v4.0, ett internationellt system för att bedöma hur allvarliga säkerhetsbrister är, får båda bristerna 9,2 av 10. Systemet klassar därför båda som kritiska.
Berör det här min webbplats?
Om din webbplats använder WordPress, MediaWiki eller ett e-handelssystem som Magento kan den vara beroende av PHP. Det går emellertid inte att avgöra enbart utifrån vilket publiceringsverktyg du använder, utan beror på vilken PHP-version webbservern kör, och om bristerna påverkar just den versionen.
WordPress och PHP kräver separata uppdateringar. En uppdatering av WordPress innebär alltså inte per automatik att PHP på webbservern också uppdateras. Fråga därför ditt webbhotell eller den som sköter driften vilken PHP-version din webbplats använder och om de behöver uppdatera den.
Vad har hänt?
Information om säkerhetsbristerna läckte ut innan PHP hann släppa den planerade säkerhetsuppdateringen. Säkerhetsföretag världen över rapporterade om tidiga försök att utnyttja bristerna. Vid rapporteringen fanns däremot inga uppgifter om angrepp i någon större omfattning.
Säkerhetsjätten Cloudflare identifierade tidiga försök till angrepp och har uppdaterat sina brandväggsregler som en tillfällig åtgärd. Webbhotellsleverantören GoDaddy varnar för att angrepp kan leda till att angripare stjäl information, ändrar innehåll eller rentav tar över hela systemet.
Vad behöver jag göra?
Om du ansvarar för en webbplats, kontakta webbhotellet eller driftleverantören. Be dem kontrollera vilken PHP-version servern använder, om säkerhetsbristerna påverkar den och när de kan uppdatera den. PHP:s utvecklare rekommenderar att webbplatsägare installerar säkerhetsuppdateringen så snart utvecklarna släpper den.
Besöker du bara webbplatser behöver du inte uppdatera din dator eller mobil med anledning av detta. Säkerhetsbristen finns i PHP på webbservern, så det är webbplatsens ägare eller driftleverantör som behöver agera.
