Aamir Lakhani, global chef för hotunderrättelser och AI-forskning på Fortinet (med mångårig bakgrund som rådgivare till bland annat det amerikanska försvarsdepartementet och flera nationella underrättelsetjänster), har brutit ner vad som faktiskt sker under huven i PHP-miljön. I en krönika på MKSE.com berättar han att:
Det har rapporterats flitigt om de allvarliga säkerhetsbristerna i programmeringsspråket PHP. Men vad är det egentligen som händer under huven – och varför hjälper det inte att bara klicka på ”uppdatera” i WordPress eller e-handeln? När en sajt drabbas av en säkerhetsbrist brukar det oftast handla om problem på ytan: ett sårbart tillägg, ett kontaktformulär som läcker data eller ett svagt lösenord. Den här gången ligger felet på en helt annan och djupare nivå.
Sårbarheterna (som kallas PHP2Shell) drabbar själva motorn bakom webbplatserna – programmet PHP, som tolkar koden och driver populära webb- och e-handelsplattformar som WordPress, Drupal och Magento. Enligt Aamir Lakhani, global chef för hotunderrättelser på cybersäkerhetsbolaget Fortinet, gör felet att angripare kan runda webbplatsens vanliga säkerhetskontroller helt.
Liknelsen: Som att koppla förbi låset på ytterdörren
För att förstå varför problemet är så svårt att stoppa kan man tänka på webbplatsen som en byggnad:
- Webbplattformen (t.ex. WordPress): Är själva huset, komplett med lås på dörren och larm (inloggningssidor, lösenord och tvåfaktorsskydd).
- PHP: Är husets grund, elcentral och rörledningar – infrastrukturen som får allting att fungera.
Det som sker vid ett angrepp är att förövaren skickar en manipulerad förfrågan som slår ut elcentralen i källaren innan larmet och låset på ytterdörren ens hunnit aktiveras. Angriparen tar sig alltså rakt in i maskinrummet utan att någonsin behöva logga in eller legitimera sig.
Väl där inne kan angriparen ta över servern, stjäla känslig information eller installera bakdörrar för framtida utpressningsattacker.
Varför vanliga åtgärder inte biter
Det här skapar en farlig, falsk trygghet för många företag och sajtägare:
- Plattformsuppdateringar hjälper inte: Felet finns inte i WordPress, Drupal eller i era tillägg. Att uppdatera verktygen i administrationspanelen ger därför inget skydd mot just den här sårbarheten.
- Säkerhetsplugins hinner inte reagera: Många förlitar sig på säkerhetstillägg som ska blockera intrång. Men eftersom serverns motor kapas innan webbplattformen ens hunnit starta, hinner tilläggen aldrig uppfatta vad som hände.
- Kräver åtgärder på driftnivå: Felet måste lagas nere i serverns operativsystem genom att webbhotellet eller driftteamet uppgraderar själva PHP-installationen och startar om tjänsterna.
Vad företag behöver göra nu
Att bara installera en säkerhetsuppdatering i efterhand räcker sällan om servern redan stått oskyddad på internet. Aamir Lakhani lyfter fram tre konkreta råd till drift- och säkerhetsansvariga:
- Stoppa attackerna innan de når servern: Eftersom webbplattformen inte kan skydda sig själv måste skyddet sitta framför – via brandväggar (WAF) och intrångsskydd (IPS) som känner igen och stoppar de skadliga anropen i nätverket.
- Kräv besked från driftleverantören: Säkerställ att webbhotellet eller IT-driften faktiskt har uppdaterat PHP på servern till en säker version och startat om systemen.
- Undersök om någon redan tagit sig in: En säkerhetsuppdatering lagar hålet i väggen, men den kastar inte ut en obehörig som redan smugit sig in. Företag bör kontrollera om webbservrarna haft oväntade krascher eller om det dykt upp okända filer i systemen.