- Et stikkord er viktig akkurat nå, oppdater nettsidene dine for historisk angrep er i gang og det er drevet av kunstig intelligens. – Som en trøst kan vi fortelle dette bare er begynnelsen. Myndigheter i alle land sover, mens det vil investeres over 10 trillioner dollar de neste fem årene på datasentre og kunstig intelligens.
– nå går cyberverdenen i beredskap og det med god grunn.
Ole Gunnar Solskjær avslørte Manchester Uniteds største problem etter de avviste Erling Haaland
Detaljene om en kritisk svakhet i programmeringsspråket PHP – ryggraden i mer enn 70 % av alle nettsteder – er nå publisert. Feilen kunne gjort det enkelt for hackere å ta over og kompromittere millioner av nettsteder og informasjonen som lagres på serverne deres.
Alle de store bankene i USA er angrepet og det går rykter om at kontoer er tømt. – Også her hjemme rammes bedrifter, offentlige organisasjoner og private over en lav sko. – Hvis du ikke enda er angrepet oppdater og bytt passord på alle som har tilgang.
Som svar har flere europeiske myndigheter og operatører, blant dem Rotterdam havn, tatt nettsidene sine offline.
Australian Signals Directorate, den amerikanske Cybersecurity and Infrastructure Security Agency og tilsvarende organer i Storbritannia, Europa og Japan har alle advart webutviklere om å iverksette akutte oppdateringer i kjernesystemene sine – og vurdere å ta ned nettsider inntil sikkerheten kan garanteres.
Organisasjonen bak det gratis, åpen kildekode-baserte språket har publisert oppdateringer som retter feilen, men å få oppdateringene ut på de millioner av systemer som bruker PHP vil ta tid.
Hva er PHP?
PHP kalles ofte «ryggraden i nettet».
Det er et programmeringsspråk – en måte å gi instruksjoner til datamaskiner på – som har eksistert siden 1997, og det lar nettsteder håndtere brukerinput og behandle informasjon bak kulissene.
Kraften i PHP ligger i allsidigheten. Nettsteder bruker det til alt fra å logge brukere inn på kontoer og drive nettbutikker, til å hente data fra databaser og drive millioner av blogger og nyhetssider.
PHP kjører på serveren i stedet for på din personlige datamaskin. Det betyr at de fleste av oss bruker PHP hver eneste dag – uten å noen gang se det.
Tidslinjen: Fra hemmelighet til lekkasje
I august brukte cybersikkerhetsforskere fra selskapet Wiz sine egne verktøy og de nyeste versjonene av Googles Gemini og OpenAIs ChatGPT for å gå gjennom PHPs enorme kodebase.
Wiz-teamet lette etter skjulte programmeringssvakheter som en angriper kunne kjede sammen for å overta et system som kjørte PHP – rett og slett ved å sende en nøye utformet forespørsel over internett.
I løpet av noen dager fant de måter å bryte seg inn i PHP-drevne systemer fra Drupal og WordPress, som brukes i store deler av nettet.
Wiz kontaktet PHP-sikkerhetsteamet for å informere dem om feilene. I slutten av september bekreftet PHP-utviklerne at problemet eksisterte, og begynte stille å jobbe med en løsning.
Innen cybersikkerhet er det ansvarlige å holde en feil privat til en patch er klar – fordi offentliggjøring kan gi hackere et detaljert kart å utnytte.
Det ser ut til å ha vært planen. Men i går slapp en bruker på det populære bransjenettstedet Hacker News nyheten om sikkerhetsfeilene – før noen oppdateringer var klare.
Etter lekkasjen hastet PHPs utviklere med å offentlig bekrefte problemet 21. oktober, og slapp nødoppdateringer før skjema.
Langt fra enkelt å tette hullet
Å implementere patchene er langt fra enkelt. Fordi PHP ligger under tusenvis av tredjeparts plug-ins, rammeverk og administrerte hostingtjenester, er nettsteder bare sikre når hvert enkelt ledd i forsyningskjeden integrerer og distribuerer PHP-løsningen.
Hvorfor skjer dette hele tiden?
Mye av internett er bygget på grunnleggende teknologier som er utviklet og vedlikeholdt av hobbyutviklere. Mange er avhengige av velvilje og donasjoner fremfor solid bedriftsfinansiering.
Mange av disse verktøyene ble først utviklet for flere tiår siden. De var aldri designet for å trygt støtte en verden der millioner av nettsteder og milliarder av enheter bruker dem til å håndtere sensitive og private data.
Problemet forverres av at vedlikehold sjelden er en prioritet for organisasjoner. Altfor ofte har selskaper bare den mest grunnleggende kunnskapen om alle delene av forsyningskjedene sine – enten fysiske eller digitale.
Selv i høyprofilerte saker som denne er mange bedrifter ikke engang klar over hvilken programvare de er avhengige av – langt mindre hvor sikker den faktisk er.
Hva bør du gjøre?
Dette problemet gjelder hovedsakelig folk som vedlikeholder nettsider eller administrerer teknisk infrastruktur. For dem er prioriteten klar: Patch systemene umiddelbart når oppdateringer er tilgjengelige, og vurder å koble kritiske systemer fra internett til du kan være trygg på sikkerheten deres.
For vanlige internettbrukere påvirker disse sårbarhetene serverne som hoster nettsider – ikke din personlige enhet. Men siden noen nettsteder midlertidig kan kompromitteres før de kan patches, er det lurt å være forsiktig med å legge inn sensitiv personlig informasjon på ukjente nettsteder de neste dagene.
Store skyleverandører og sikkerhetsfirmaer ruller ut nødfiltre, men den globale kappløpet for å sikre nettet er så vidt i gang.
En vekker for hele bransjen
Cybersikkerhetsteam over hele verden skynder seg for å begrense skadene. Men omfanget av dette problemet burde være en vekker.
Regjeringer og bedrifter kan ikke ignorere robustheten i sine digitale forsyningskjeder. Akkurat som produsenter sporer leverandørene av de fysiske komponentene de er avhengige av, bør vi forvente at organisasjoner sporer hvert system og rammeverk deres digitale infrastruktur er avhengig av.
Å samle inn denne informasjonen er det første steget for bedrifter og myndigheter til virkelig å forstå hvor sterkt deres digitale levedyktighet er avhengig av underfinansiert, frivillig vedlikeholdt kode.
Inntil bedrifter behandler finansiering av grunnleggende verktøy for åpen kildekode som en kritisk sikkerhetsinvestering snarere enn veldedighet, vil disse sårbarhetene fortsette å oppstå.
Rødbetjuice kan senke blodtrykket – men fordelene varierer
