Under onsdagen den 21 oktober inleddes ett omfattande internationellt arbete med att skydda webbplatser och digitala tjänster från två nyligen offentliggjorda säkerhetsbrister. Sårbarheterna, som tillsammans fått namnet PHP2Shell, finns i PHP, en teknik som används bakom kulisserna på miljontals webbplatser.
PHP används bland annat av flertalet publiceringssystem som WordPress, Drupal och Joomla, men också i många specialutvecklade system. Enligt uppskattningar som återges av nyhetsbyrån Associated Press används PHP på omkring 70 procent av de webbplatser där det bakomliggande programmeringsspråket är känt.
Det innebär att säkerhetsbristerna potentiellt berör allt från små företagswebbplatser till myndighetsportaler, e-handel och samhällsviktiga digitala tjänster.
En angripare som lyckas utnyttja bristerna kan under vissa förutsättningar få möjlighet att köra egna kommandon på en server utan att först behöva logga in. Det kan i sin tur göra det möjligt att komma åt känsliga uppgifter, manipulera innehåll eller använda den drabbade servern för ytterligare angrepp.
Över 22 miljoner installationer kan vara utsatta
Säkerhetsföretaget Palo Alto Networks uppger att dess analys identifierat över 22,6 miljoner internetexponerade installationer som potentiellt kan vara sårbara. Uppgiften rapporteras bland annat av TechTarget och Defense One.
Även säkerhetsföretaget Censys har genomfört omfattande kartläggningar. I en analys publicerad den 21 oktober identifierade företaget drygt 2,5 miljoner internetanslutna värddatorer med PHP. Av omkring 1,58 miljoner värddatorer som rapporterade ett PHP-versionsnummer använde nästan samtliga en version äldre än de nya säkerhetsuppdateringarna.
Censys konstaterar samtidigt att omkring 1,15 miljoner av de identifierade värddatorerna rapporterade PHP-versioner som inte längre omfattas av ordinarie underhåll från PHP-projektet.
Siffrorna behöver tolkas med viss försiktighet. En server kan vara värd för många olika webbplatser och en äldre versionsbeteckning betyder inte alltid att servern saknar säkerhetsuppdateringar. Vissa leverantörer installerar säkerhetskorrigeringar utan att ändra det huvudsakliga versionsnumret.
Kartläggningarna visar därför hur många system som kan vara exponerade, inte hur många som faktiskt är sårbara eller redan har utsatts för intrång.
De olika säkerhetsföretagens siffror kan heller inte jämföras direkt, eftersom deras mätmetoder och definitioner skiljer sig åt. Däremot ger de en samstämmig bild av att det handlar om en mycket omfattande internationell exponering.
Myndighetswebbplatser har stängts ned
Säkerhetslarmen har redan fått synliga konsekvenser för allmänheten.
Enligt Associated Press har myndigheter och andra organisationer i både Europa och USA tillfälligt tagit webbplatser ur drift för att genomföra säkerhetsåtgärder.
Bland annat var delar av den finländska regeringens webbplatser otillgängliga under onsdagen. Besökare möttes av information om att webbplatserna drabbats av en tillfällig störning och att vissa tjänster var helt eller delvis otillgängliga medan problemen hanterades.
Även i Storbritannien rapporterades störningar på offentliga webbplatser. Bland de verksamheter vars webbplatser uppgavs ha varit otillgängliga fanns Metropolitan Police samt flera kommunala förvaltningar, däribland Edinburgh och Oxford.
Det finns dock ingen bekräftad uppgift om att dessa organisationer faktiskt har utsatts för framgångsrika angrepp. Nedstängningarna ska därför i första hand ses som en del av säkerhetsarbetet efter att sårbarheterna offentliggjorts.
Att myndigheter väljer att tillfälligt stänga ned webbplatser visar samtidigt vilka avvägningar som kan uppstå när allvarliga säkerhetsbrister upptäcks. Verksamheter behöver väga behovet av tillgänglighet mot risken att fortsätta exponera system som ännu inte har uppdaterats.
NCSC, FBI, NSA och CISA varnar
Nationellt cybersäkerhetscenter, NCSC, som är en del av Försvarets radioanstalt, har under onsdagen gått ut med en uppmaning att situationen ”kräver skyndsam åtgärd”.
– Det viktigaste är att snabbt inventera vilka applikationer man har som använder PHP och uppdatera dem enligt leverantörens nu tillgängliga uppdateringar, säger John Billow, chef för Nationellt cybersäkerhetscenter, i en nyhet på deras webbplats.
I USA har flera federala säkerhetsmyndigheter engagerats i hanteringen av händelsen.
Enligt Defense One har såväl den federala polismyndigheten FBI som signalspaningsmyndigheten NSA och cybersäkerhetsmyndigheten CISA uppmanat organisationer att omedelbart uppdatera sina system eller tillfälligt koppla bort dem från internet.
Myndigheterna framhåller risken för att angripare kan ta sig in i webbservrar utan inloggningsuppgifter och därefter komma åt information eller andra anslutna system.
CISA uppgav i sin information den 21 oktober att myndigheten vid publiceringstillfället inte hade observerat någon bekräftad exploatering av sårbarheterna. Samtidigt varnade myndigheten för riskerna med att lämna systemen ouppdaterade.
Även europeiska och kanadensiska cybersäkerhetsmyndigheter har publicerat varningar. Kanadas nationella cybersäkerhetscentrum uppmanar organisationer att identifiera berörda system och installera korrigeringarna omedelbart.
I Storbritannien har NHS Englands nationella cybersäkerhetsfunktion varnat för att sårbarheterna kan utnyttjas för att komma åt känslig information eller ta kontroll över webbservrar. Funktionen bedömer att framtida exploatering är mycket sannolik.
Den samlade myndighetsresponsen visar att frågan inte enbart betraktas som ett problem för webbplatsutvecklare, utan som en bredare risk för organisationers informationssäkerhet.
Angreppsförsök har redan observerats
Samtidigt som myndigheter och systemleverantörer arbetar med uppdateringar har flera säkerhetsföretag rapporterat att angripare redan försöker utnyttja bristerna.
Cloudflare, som tillhandahåller säkerhets- och infrastrukturtjänster för webbplatser, uppger att företaget observerat angreppstrafik mot sina kunder i samband med att informationen om sårbarheterna läckte.
Enligt Cloudflare har angripare också förändrat sina angreppsmetoder i försök att kringgå företagets skydd. Cloudflare hade redan före offentliggörandet utvecklat särskilda skyddsåtgärder och aktiverade dessa för både betalande kunder och användare av gratistjänsten.
Säkerhetsföretaget Hadrian har rapporterat om omfattande försök att utnyttja sårbarheterna. Även Patchstack och watchTowr har observerat angreppsaktivitet.
WatchTowr uppgav dock under onsdagen att de försök som registrerats mot företagets övervakningssystem inte hade lyckats.
Det är en viktig skillnad. Att säkerhetsföretag registrerar angreppsförsök betyder inte att angriparna också har lyckats ta sig in i de system de riktat sig mot.
Hittills finns inga offentligt tillförlitligt bekräftade uppgifter som gör det möjligt att fastställa hur många organisationer som faktiskt har komprometterats genom PHP2Shell.
Det finns därför skäl att räkna med att bilden av händelsen kan förändras under de kommande dagarna, när fler organisationer hunnit analysera sina loggar och undersöka eventuella intrång.
Läckan förändrade säkerhetsarbetet
Bakom säkerhetslarmet ligger ett arbete som pågått under flera månader.
Sårbarheterna identifierades med hjälp av säkerhetsforskare och AI-baserade analysverktyg. Bland de inblandade organisationerna finns OpenAI, säkerhetsföretaget Wiz och forskningsföretaget Calif.
OpenAI uppger att företaget under omkring två månader samordnat arbetet med andra aktörer för att möjliggöra säkerhetsuppdateringar innan informationen blev offentlig.
PHP:s utvecklare ansvarade för själva korrigeringarna, medan bland andra Cloudflare arbetade med kompletterande skydd.
Den ursprungliga planen var att offentliggöra sårbarheterna den 22 oktober. Men den 20 oktober började uppgifter spridas i förtid. Bland annat publicerades information och material som visade hur sårbarheterna skulle kunna utnyttjas.
Det fick PHP:s utvecklare att tidigarelägga offentliggörandet och publiceringen av säkerhetsuppdateringarna till den 21 oktober.
Läckan innebar att angripare kunde få kännedom om bristerna innan alla systemägare hunnit förbereda sig. Enligt PHP Foundation bidrog den förtida spridningen av tekniska detaljer också till att fungerande demonstrationsangrepp kunde utvecklas snabbare.
Händelsen illustrerar svårigheterna med att samordna hanteringen av sårbarheter i programvara som används av ett stort antal organisationer. Många olika aktörer behöver förberedas, samtidigt som informationen måste hållas skyddad fram till dess att en lösning finns tillgänglig.
Särskilda utmaningar för äldre system
Ett problem är att många organisationer fortfarande använder äldre versioner av PHP.
De senaste versionerna har fått säkerhetsuppdateringar, men äldre installationer kan kräva särskilda åtgärder. För verksamheter som använder äldre webbapplikationer är det inte alltid möjligt att uppgradera till en ny huvudversion utan att samtidigt behöva anpassa eller byta ut andra delar av systemet.
Vissa leverantörer av operativsystem och långtidsunderhåll tillhandahåller korrigeringar även för äldre programvaruversioner. Det innebär att systemägare behöver kontrollera säkerhetsstatusen hos den faktiska leverantören och inte enbart utgå från det versionsnummer som visas.
För offentliga verksamheter och företag med många externa IT-leverantörer kan det bli en omfattande uppgift att identifiera samtliga berörda system.
En organisation kan exempelvis ha en uppdaterad extern webbplats, men samtidigt använda äldre PHP-baserade system för interna tjänster, ärendehantering eller kundportaler.
Det är också möjligt att webbplatser som till synes är helt fristående i själva verket använder samma underliggande servermiljö.
Ännu oklart hur stora skadorna blir
Trots de omfattande varningarna finns det fortfarande begränsad information om faktiska skador.
Det som hittills är känt är att miljontals internetanslutna installationer kan vara exponerade, att flera myndighetswebbplatser tillfälligt stängts ned och att säkerhetsföretag redan observerat angreppsförsök.
Däremot saknas en samlad bild av hur många system som verkligen har komprometterats, om information har stulits och vilka organisationer som i så fall drabbats.
Att sådana uppgifter ännu saknas behöver inte innebära att angreppen har misslyckats. Det kan också ta tid innan en organisation upptäcker att ett intrång har skett och därefter kan fastställa vilken sårbarhet som utnyttjats.
För verksamheter som hanterar känsliga uppgifter eller samhällsviktiga tjänster kan konsekvenserna bli större än att en webbplats tillfälligt slutar fungera. En angripare som får tillgång till en webbserver kan i vissa fall även komma åt anslutna databaser, administrativa funktioner eller inloggningsuppgifter till andra system.
Det är därför säkerhetsmyndigheterna uppmanar organisationer att inte bara genomföra uppdateringarna, utan även undersöka om deras system kan ha utsatts för angrepp innan korrigeringarna installerades.
PHP2Shell har på kort tid gått från att vara ett säkerhetsproblem känt av ett begränsat antal forskare till en internationell händelse som påverkar myndigheter, företag och andra organisationer.
Hur många som faktiskt drabbats av intrång återstår att klarlägga. Redan nu står det däremot klart att arbetet med att skydda och uppdatera berörda system har fått konsekvenser för tillgängligheten till offentliga digitala tjänster.
