Teknik

Miljontals attacker mot PHP-sårbarhet inom timmar efter avslöjandet

Storbritannien tog 32 statliga tjänster offline, ingen lyckad intrusion ännu rapporterad

Bilder

A page on the BBC website temporarily unavailable due to the issue. Photograph: Yui Mok/PA A page on the BBC website temporarily unavailable due to the issue. Photograph: Yui Mok/PA theguardian.com
The race to fix huge PHP flaw at the heart of the internet - The Latest The race to fix huge PHP flaw at the heart of the internet - The Latest theguardian.com
A notice on the National Cyber Security Centre website warned of a critical security issue affecting PHP. Photograph: Yui Mok/PA A notice on the National Cyber Security Centre website warned of a critical security issue affecting PHP. Photograph: Yui Mok/PA theguardian.com

CloudFlare rapporterar att deras system utsattes för tiotusentals försök att utnyttja en sårbarhet i programmeringsspråket PHP inom 45 minuter efter att den offentliggjordes på onsdagen. Antalet attacker sköt i höjden till hundratusentals inom två timmar och har sedan dess nått miljontals försök, enligt företagets chef Matthew Prince. Händelsen har tvingat regeringar och företag över hela världen att stänga ner webbplatser för att motverka attacker och installera säkerhetsuppdateringar. I Storbritannien tvingades 32 statliga tjänster att tillfälligt stängas ner, rapporterade säkerhetsministern Liz Lloyd till parlamentet.

PHP utgör grunden för ungefär 70 procent av världens webbplatser, vilket gör sårbarheten till en systemisk risk. USA:s nationella säkerhetsbyrå varnade för att bristen kunde ge angripare möjlighet att ta över webbserverar, stjäla känslig data, störa tjänster och penetrera djupare in i nätverk. Storbritanniens nationella cybersäkerhetscentrum (NCSC) har skickat 50 000 varningar till berörda organisationer och beskrivit omfattningen av bristen som ”oöverträffad”. Tidigare chefer för säkerhetsmyndigheterna har kallat felet ”mycket allvarligt” och det mest kritiska som upptäckts på fem år, medan varningar har utfärdats om att stormakter som Ryssland och Kina skulle kunna utnyttja den.

Trots de allvarliga varningarna har NCSC inte rapporterat några framgångsrika intrång som direkt orsakats av felet. Forskaren som upptäckte bristen har noterat att det just nu inte verkar som om utnyttjandet har fått fäste eller spridit sig brett. Brittiska handelskamrar konstaterar att felet ännu inte orsakat betydande problem för företagen, även om vissa statliga tjänster tillfälligt har varit otillgängliga. Det är dock denna koncentration av svårigheter som utgör den största utmaningen.

Säkerhetsmyndigheterna har pekat ut system som används av skolor, lokala myndigheter och välgörenhetsorganisationer, vilka i många fall saknar dedikerat stöd för cybersäkerhet och därmed har svårt att genomföra nödvändiga korrigeringar. Bland de rapporterade drabbade sajterna nämns Internet Archive och Wikipedia. Regeringen i Storbritannien vägrade dock att namnge specifika drabbade tjänster, med hänvisning till att de granskas och uppdateras. En viktig detalj är att säkerhetsuppdateringen inte är universell; NCSC förklarar att den inte fungerar för organisationer som kör äldre system, vilket tvingar dem att genomföra kostsamma systembyten.