Kritisk PHP-sårbarhed lukker Aula, DMI og kommunesider midlertidigt

Kort fortalt

To kritiske sårbarheder i PHP, motoren bag en stor del af nettets hjemmesider, er offentliggjort onsdag.

Styrelsen for Samfundssikkerhed opfordrer alle systemejere til at opdatere hurtigst muligt eller tage systemer offline.

Aula, DMI, Vejdirektoratet og Københavns Kommunes hjemmeside har været lukket i løbet af onsdag, skriver TV 2.

EU's computerberedskab Cert-EU vurderer alvoren til 9,2 ud af 10. Ingen tegn på udnyttelse endnu, ifølge Cisa.

Hjemmesider i Danmark og resten af verden er onsdag lukket midlertidigt, efter at to kritiske sårbarheder i PHP er blevet offentliggjort. PHP er motoren bag en stor del af nettets hjemmesider og webapplikationer. Styrelsen for Samfundssikkerhed beder alle systemejere om at opdatere hurtigst muligt.

Ifølge udviklerne bag PHP kan sårbarhederne bruges til at køre vilkårlig kode på en server uden særlige rettigheder. Et sårbart system kan derfor overtages, skriver styrelsen. Onsdag eftermiddag kom der sikkerhedsopdateringer til alle versioner af PHP, som stadig vedligeholdes.

"Hvis det ikke er muligt at opdatere inden for en kort tidshorisont, kan det være nødvendigt at tage systemer offline, indtil de kan opdateres", skriver Styrelsen for Samfundssikkerhed.

Danske sider lukket

Herhjemme har flere offentlige sider været nede i løbet af onsdag, skriver TV 2. Aula og DMI blev lukket midlertidigt. Københavns Kommune lukkede sin webplatform omkring kl. 14, efter at kommunens leverandør havde givet besked om sårbarheden. Vejdirektoratet og DMI er senere åbnet igen.

Udbud.dk under Konkurrence- og Forbrugerstyrelsen var også utilgængelig sidst på eftermiddagen med henvisning til en planlagt systemopdatering.

Ministeriet for Samfundssikkerhed og Beredskab oplyser til TV 2, at det følger situationen tæt, og at styrelsen har sendt varsel til organisationer om behovet for opdatering.

Vurderet til 9,2 ud af 10

EU's computerberedskab Cert-EU vurderer sårbarheden til 9,2 på CVSS-skalaen, der går til 10. Professor i cybersikkerhed Jens Myrup Pedersen fra Aarhus Universitet kalder det over for TV 2 en af de helt store begivenheder. Han ville ikke blive overrasket, hvis vurderingen ender på ti.

Fejlen er ifølge BBC fundet ved hjælp af AI. Det ser professoren som et eksempel på, at AI kan hjælpe med at finde huller, før de bliver misbrugt. "Man har fundet den her sårbarhed, før de ondsindede hackere har fundet den", siger Jens Myrup Pedersen. Han venter dog flere hændelser af samme slags fremover, netop fordi AI gør det lettere at finde fejl.

Reaktioner i udlandet

OpenAI betragter ifølge TV 2 fejlen som en af de mest alvorlige sårbarheder i nyere tid, og Drupal Association vurderer, at størstedelen af internettet er berørt. PHP skriver selv, at stort set alle servere, der bruger sproget, kan være ramt.

Belgiens udenrigsministerium har ifølge Reuters lukket hjemmesider efter rapporter om angreb. Japans premierminister har opfordret alle til at handle samme aften. Den amerikanske cybersikkerhedsmyndighed Cisa ser derimod ingen tegn på, at hullet er udnyttet endnu, men kalder det en risiko for alle, der ikke opdaterer.

Hvad sker nu

Opdateringen findes, og arbejdet ligger nu hos dem, der driver servere og hjemmesider. Hvilke to sårbarheder der præcis er tale om, og hvornår Aula og Københavns Kommunes side åbner igen, fremgår ikke af kilderne. Det gør heller ikke, om danske systemer er blevet angrebet.

Hvad betyder det for din husstand

Regn med, at offentlige og private hjemmesider kan være lukket i kortere perioder onsdag og de kommende dage. Prøv igen senere i stedet for at antage, at tjenesten er væk. - Aula, DMI, Vejdirektoratet og Københavns Kommune har allerede lukket midlertidigt, og styrelsen anbefaler netop at tage systemer offline, hvis de ikke kan opdateres hurtigt.

Driver du selv en hjemmeside, fx for en forening eller en lille virksomhed, så opdater PHP nu eller kontakt dit webhotel og spørg, om det er sket. - Styrelsen for Samfundssikkerhed opfordrer alle systemejere til at opdatere hurtigst muligt. Hullet kan give fremmede adgang til serveren.

Kan siden ikke opdateres i dag, så tag den offline, indtil den kan. - Det er styrelsens eget råd. En lukket side er bedre end en overtaget side.

Hav vejret og trafikken fra andre kanaler, mens DMI og Vejdirektoratet kan være ustabile: DR P4 er beredskabskanalen. - Myndighedernes varsler går også ud over radio, og DR P4 er den kanal, beredskabet peger på, når nettet svigter.