Europas cybersikkerhetsteam har bedt nettsider som ikke kan oppdatere to kritiske PHP-sårbarheter, om å vurdere å gå offline. Begge sårbarhetene kan la angripere ta kontroll over webservere uten innlogging.
PHP ligger i bunn for en stor andel av internett, fra WordPress-blogger til Magento-nettbutikker. Detaljer om begge sårbarhetene lekket imidlertid på nettet før løsningene var klare.
Angriperne fikk et forsprang
Lekkasjen dukket opp 20. oktober, før den planlagte offentliggjøringen, rapporterte Huntress. PHP Foundations sikkerhetsteam planla derfor å offentliggjøre feilene 21. oktober kl. 14:00 UTC.
Sikkerhetsselskapet watchTowr har siden klart å gjenskape en av de to feilene, ifølge Huntress. Huntress selv sa at de ikke hadde sett utnyttelse av sårbarhetene i sine kunders systemer.
I motsetning til dette uttalte Cloudflare sin teknologisjef, Dane Knecht, at angrep allerede har startet. Selskapet har lagt inn brannmurregler mot kjente angrepsveier for alle kunder, inkludert gratisbrukere.
Vi ser at tidlige angrep har startet, og vi oppdaterer tiltakene etter hvert som nye angrepsmetoder kommer til. Dette er kun en midlertidig løsning.
Knecht delte advarselen i et innlegg på X.
Computer Emergency Response Team for EU (CERT-EU) og Australias cybersikkerhetsbyrå advarte begge om at PHP-sårbarhetene kan påvirke alle versjoner fra PHP 5 og nyere, ifølge Reuters.
Noen forskere forventer kun løsninger for støttede PHP 8-versjoner, bemerket Huntress. Det kan etterlate nettsider med eldre, ustøttede versjoner uten oppdatering.
Varslingen kommer noen uker etter at over 100 selskaper advarte om at AI-cyberangrep vil øke kraftig i løpet av måneder.
Hva PHP-sårbarhetene betyr for nettsideeiere
PHP kjører på omtrent 69 % av nettsider med kjent serversidespråk, viser data fra W3Techs. Kun WordPress driver rundt 40 % av alle nettsteder.
CERT-EU opplyste at alvorlighetsscoren på 9,2 indikerer uautentisert fjernkjøring av kode. Med andre ord kan en utenforstående kjøre skadelig kode på en server uten innloggingsinformasjon.
Webhotellleverandøren GoDaddy advarte om at angripere kan stjele data, ødelegge nettsider, eller ta full kontroll over et system. Stjålne data har reell verdi, noe datainnbruddene mot sørkoreanske banker viste.
Sikkerhetspluginen Wordfence påpeker at hver eneste WordPress-side kjøres på en PHP-server. Likevel vil ikke WordPress sine automatiske oppdateringer rette PHP-sårbarhetene. Nettsideeierne må derfor selv finne ut hvem som håndterer PHP-installasjonen.
Angrep mot vanlig infrastruktur fortsetter å spre seg, slik hackingen av franske supermarkedkjøleskap viste i oktober. Disse PHP-sårbarhetene retter nå dette presset mot programvarelaget som ligger under store deler av nettet, der bare én glemt serveroppdatering kan åpne døren.
