Kritisk sikkerhedsopdatering til PHP: Hvad betyder den for jeres website?

Hvad er PHP? Og hvad har det med jeres website at gøre?

PHP er et programmeringssprog, der bruges til at bygge funktionerne bag websites, webshops og webapplikationer. Du kan tænke på det som motoren på serveren, der samler data og indhold, før den færdige side bliver vist i brugerens browser.

Det kan eksempelvis være PHP, der behandler en tilbudsforespørgsel, giver en kunde adgang til en portal eller henter produktinformation fra en database. PHP bruges også i WordPress, så jeres website kan være berørt, selvom du aldrig selv har forholdt dig til programmeringssproget.

Vil du vide mere om teknologien, kan du læse vores indlæg her:

Overblik over hændelsen

Forløbet strakte sig over flere måneder, men det var især det sidste døgn før frigivelsen, der gav travlhed:

• 11. august: Calif og OpenAI rapporterer uafhængigt af hinanden en alvorlig sårbarhed til PHP. Wiz rapporterer yderligere angrebsveje den 24. august.
• August-oktober: PHP’s sikkerhedsteam og samarbejdspartnere arbejder fortroligt på rettelser og beskyttelse.
• 20. oktober: Sikkerhedshullernes identifikationsnumre, de såkaldte CVE-numre, begynder at cirkulere offentligt. Om aftenen bliver en video, der demonstrerer et angreb, offentliggjort ved en fejl.
• 21. oktober kl. 05.02: Cloudflare aktiverer beskyttelse mod kendte angrebsforsøg for kunder med deres sikkerhedsfilter – også på gratisabonnementet.
• 21. oktober om eftermiddagen: PHP frigiver sikkerhedsrettelserne. Udgivelsen var varslet til kl. 16.00, en dag tidligere end oprindeligt planlagt.

Alle klokkeslæt er dansk tid. Læs mere hos PHP Foundation og Cloudflare.

Hvorfor er sikkerhedsopdateringen vigtig?

Opdateringen lukker to alvorlige sikkerhedshuller i PHP. De kan gøre det muligt for uvedkommende at få serveren bag jeres website til at udføre skadelige handlinger uden først at logge ind. Derfor anbefaler PHP-teamet, at berørte installationer opdateres med det samme.

At jeres website bruger PHP, betyder ikke i sig selv, at det er blevet hacket. Men du bør få jeres hostingudbyder eller webpartner til at undersøge, om det er beskyttet.

Flere kendte danske websites lukkede af sikkerhedshensyn

Sikkerhedshullerne fik onsdag den 21. oktober konsekvenser for websites over hele verden – heriblandt en række velkendte danske websites og tjenester. En af dem var Aula, som var lukket ned (vi er nogle, der lige i dette tilfælde var lidt lettede over for en gangs skyld at have en god undskyldning for ikke at tjekke beskederne derinde 😉).

Også DMI, Københavns Kommune, Vejdirektoratet og bibliotekernes hjemmesider var midlertidigt utilgængelige som en forholdsregel, mens sikkerhedsproblemet blev håndteret.

Hvorfor blev det så hektisk?

Den planlagte frigivelse blev rykket en dag frem, da oplysningerne begyndte at cirkulere. Det gav hostingudbydere og driftsteams kortere tid til at forberede sig.

Samtidig var angrebsforsøg allerede i gang. AWS har efterfølgende oplyst, at de registrerede et forsøg på at udnytte sikkerhedshullerne den 17. oktober – fire dage før offentliggørelsen. Det var et angrebsforsøg, ikke dokumentation for et vellykket indbrud hos virksomheder.

Derfor er det ikke nok at installere rettelserne og kun undersøge aktiviteten efter den 21. oktober. Kontrollen bør også omfatte tiden før offentliggørelsen, som minimum fra den 17. oktober. Læs AWS’ gennemgang.

Hvad bør du gøre nu?

1. Kontakt jeres hostingudbyder eller webpartner

Bruger jeres website PHP, bør du hurtigst muligt få jeres hostingudbyder eller webpartner til at bekræfte, at sikkerhedsrettelserne er installeret. Bed samtidig om at få afklaret, om I har andre PHP-baserede løsninger, der også skal opdateres.

Husk eksempelvis kundeportaler, webshops og ældre løsninger, som stadig er tilgængelige på nettet. Det er let at fokusere på virksomhedens primære website og overse de øvrige systemer.

Bruger I WordPress, kan du finde PHP-versionen under Værktøjer → Webstedets sundhed → Information → Server. Den kan også fremgå af jeres hostingpanel.

2. Få selve PHP-installationen opdateret

Det er PHP på serveren, der skal opdateres. En opdatering af WordPress, temaer eller plugins lukker ikke i sig selv disse sikkerhedshuller.

PHP har frigivet rettelser i versionerne 8.2.35, 8.3.36, 8.4.27 og 8.5.12. Nogle serverleverandører leverer sikkerhedsrettelser til deres eksisterende pakker. Derfor bør du få leverandøren til at bekræfte, at rettelserne er installeret, frem for kun at kigge på versionsnummeret.

PHP 8.1 og ældre modtager ikke længere almindelige sikkerhedsopdateringer fra PHP-projektet. Her skal leverandøren afklare, om der findes en rettelse, eller om løsningen skal opgraderes til en understøttet version.

Bruger I PHP 8.2, bør du også få lagt en plan for næste opgradering. PHP-projektets sikkerhedsopdateringer til denne version stopper den 31. december 2026.

Bed desuden leverandøren bekræfte, at de relevante tjenester er genstartet efter opdateringen, så rettelserne er trådt i kraft.

Du kan finde versionsoplysninger og anbefalinger i PHP’s officielle sikkerhedsmeddelelse.

3. Følg op på funktioner og tegn på misbrug

Aftal med jeres leverandør, hvem der kontrollerer løsningen efter opdateringen. Kan kunderne sende en tilbudsforespørgsel? Virker login til kundeportalen? Kommer bestillinger og formularhenvendelser frem til de rette modtagere?

Bed også den teknisk ansvarlige undersøge for tegn på indbrud fra mindst den 17. oktober og frem. Det kan blandt andet være:

• PHP, der gentagne gange går ned eller genstarter uventet.
• Ukendte programmer eller kommandoer, som bliver startet på serveren.
• Nye PHP-filer i mapper til uploadede billeder og dokumenter, hvor der ikke bør ligge programkode.
• Mange usædvanlige forespørgsler eller angrebsforsøg fra samme IP-adresse.

Ingen af tegnene beviser alene, at der har været et indbrud. Men de er relevante at undersøge nærmere. Du behøver ikke selv gennemgå serveren – brug punkterne til at spørge ind til leverandørens kontrol.

4. Hold øje med fejl efter opdateringen

Der er bekræftet en særskilt fejl i PHP 8.4.27 og 8.5.12, som under bestemte forhold kan få PHP til at gå ned. Det gør kontrollen efter opdateringen ekstra vigtig.

Oplever I problemer, skal leverandøren undersøge dem og følge PHP’s rettelser. At gå tilbage til en version med de oprindelige sikkerhedshuller vil genåbne risikoen og bør ikke være standardløsningen. Se PHP-projektets fejlrapport.

Hvad hvis du ikke gør noget?

Hvis jeres website er berørt og ikke bliver opdateret, forbliver sikkerhedshullerne åbne. Det kan give uvedkommende mulighed for at få adgang til data eller forstyrre driften.

Cloudflare har aktiveret beskyttelse mod kendte angrebsforsøg for kunder med deres sikkerhedsfilter, også på gratisabonnementet. Bruger I allerede Cloudflare, bør leverandøren kontrollere, at beskyttelsen er aktiv, og at trafikken til websitet går gennem den.

Bruger I ikke Cloudflare, kan leverandøren vurdere, om det er et relevant ekstra tiltag, mens opdateringen bliver gennemført. Det er dog ikke nok blot at oprette en gratis konto, og filteret erstatter ikke sikkerhedsrettelserne. Læs Cloudflares vejledning.

Har du endnu ikke fået bekræftet, at rettelserne er installeret, så kontakt jeres hostingudbyder eller webpartner hurtigst muligt. Kan opdateringen ikke gennemføres straks, bør den driftsansvarlige også vurdere, om adgangen midlertidigt skal begrænses eller lukkes.

Med en serviceaftale tager vi hånd om opdateringerne

Har I en serviceaftale hos os, har vi allerede håndteret denne opdatering. Fire kolleger arbejdede til sent om aftenen den 21. oktober, og klokken 21.30 havde vi opdateret og genstartet mere end 500 websites.

Vi overvågede løbende og automatisk, hvornår rettelserne blev tilgængelige hos vores leverandører, så installation og genstart kunne gå i gang, så snart pakkerne var klar. Websites, hvor vi administrerer DNS, lå allerede bag Cloudflare og havde beskyttelse mod kendte angrebsforsøg fra morgenen.

Vi gennemgår desuden alle servere for tegn på indbrud fra den 17. oktober og frem og følger nye sikkerhedsoplysninger.

Det er også det, en serviceaftale er til for. Du skal kunne passe dit arbejde, mens vi holder øje med sikkerhedsopdateringerne og reagerer, når der er brug for det.

Vil du også have nogen til at tage hånd om driften?

Læs med, før dine konkurrenter gør

Tilmeld nyhedsbrevet

Indlæg af

Niclas Johansen

Managing Director – Udvikling, CTO & Partner

[email protected]

42 90 84 28