Kritisk PHP-sårbarhed tvinger hjemmesider verden over til at lukke

To kritiske sikkerhedshuller i PHP tvinger i disse dage hjemmesider verden over offline. Både EU's cybersikkerhedsagentur og den danske brancheorganisation DI opfordrer virksomheder til øjeblikkeligt at opdatere deres systemer.

Sårbarhederne er alvorlige, fordi PHP ligger under en stor del af verdens hjemmesider – blandt andet WordPress, Drupal, Joomla, Magento og en lang række hostingplatforme. Sikkerhedsfirmaet Huntress formulerer det sådan: "PHP er alle vegne" og kører i systemer, "mange virksomheder bruger uden at vide det, fordi en leverandør eller et webbureau har bygget det ind."

Allerede lukket ned i Danmark

Konsekvenserne ses allerede herhjemme. Kombit, der driver it-platforme for de danske kommuner, har lukket flere tjenester, blandt andet Aula, og Københavns Kommune har taget sin hjemmeside offline. Danmarks minister for samfundssikkerhed advarer: "Hvis øjeblikkelige opdateringer ikke er mulige, bør man overveje at gå offline."

DI's fem råd

DI har udsendt en håndfast femtrins-anbefaling til virksomheder:

1. Kortlæg al brug af PHP på tværs af systemer og leverandører
2. Installer de nyeste PHP-versioner (8.2, 8.3, 8.4 eller 8.5) med det samme
3. Planlæg opgraderinger af ældre, ikke-supporterede versioner
4. Undersøg servere for tegn på angreb, inden der opdateres
5. Opdater egne produkter, der indeholder PHP-grænseflader

DI understreger alvoren med ordene: "Opdater jeres systemer nu – ikke i morgen."