EXPLAINER: Hvad betyder en alvorlig sikkerhedsbrist i PHP

Hvad er der helt konkret sket?

Udviklerne af PHP, som er en softwarekomponent i millioner af web-baserede tjenester, har offentliggjort, at man har fundet alvorlige sikkerhedsproblemer. En opdateret udgave af PHP med fejlrettelser er nu tilgængelig, og man opfordrer til straks at få opdateret alle verdens PHP-installationer - inden hackere begynder at udnytte sårbarhederne.

Hvordan blev sikkerhedsbristen opdaget?

Dele af fejlene har været kendt i noget tid, men alvoren blev først tydelig i august, efter at et sikkerhedsfirma havde undersøgt programkoden bag PHP ved hjælp af moderne AI-værktøjer.

Hvilke konsekvenser har det for almindelige danskere? Hvor stor risikoen for, at følsomme oplysninger falder i de forkerte hænder?

Af der eksisterer sårbarheder er ikke ensbetydende med, at hackere har haft kendskab til dem og held med at udnytte dem. Hvis de web-baserede tjenester, der bygger på PHP, får opdateret straks, så er risikoen for brugerne minimal. Det kan dog ikke udelukkes, at hackere har haft kendskab til og udnyttet sårbarhederne før offentligheden blev informeret.

Hvorfor er det svært at sikre sig mod disse brister?

Moderne web og/eller mobil-baseret software er ekstremt komplekst, og en enkelt banal programmeringsfejl kan have fatale konsekvenser for sikkerheden som i dette tilfælde. På bl.a. Institut for Datalogi på Aarhus Universitet forsker og underviser vi i hvordan man kan lave mere robuste programmeringssprog og værktøjer til at finde fejl (og matematisk bevise, når man har fået rettet fejlene, at der ikke er flere tilbage), inden software tages i brug. Størstedelen af den software, som anvendes i dag, er imidlertid ofte lavet med mere usikre programmeringssprog og uden brug af avancerede fejlfindingsteknikker.

Skal jeg selv gøre noget (hvis jeg har en hjemmeside, min egen hjemmeserver eller lignende)?

Hvis du har din egen webserver og PHP er installeret på den, så luk den straks, opdater PHP, og se efter spor fra hackere i logfiler m.m.

Både AULA, Magasin og Aarhus Universitet er blevet hacket indenfor de sidste par dage - hvordan hænger det sammen med denne brist?

I de fleste tilfælde er disse systemer sandsynligvis ikke blevet hacket pga. PHP-sårbarhederne. Hackerne vil sandsynligvis i første omgang gå efter langt mere prominente systemer end relativt små, lokale systemer. Men man har konstateret, at man har haft webservere med PHP, og derfor har man valgt at lukke ned og få opdateret straks, som anbefalet ovenfor. Der er således ikke tale om at f.eks. AULA har været ramt af hackerangreb. Bemærk, det hackerangreb mod Aarhus Universitet, som for nylig blev offentliggjort, ikke er relateret til PHP-sårbarhederne.

Hvilken rolle spiller AI?

Moderne AI er blevet et særdeles effektivt redskab til at finde forskellige former for programmeringsfejl, som nævnt ovenfor - og til at finde ud af om det er muligt for ondsindede aktører at udnytte fejlene til at få fuld kontrol over webserverne og derved også de data, der opbevares der.

Hvor almindeligt er det i software-verdenen at lade sårbarheder ligge, fordi en rettelse er for besværlig?

Det er desværre meget almindeligt. Én årsag er, at det mange gange er endnu sværere at få rettet fejlene end at finde fejlene. Men selv i situationer - som nu med PHP-sårbarhederne - hvor selve rettelserne er foretaget, så er det afgørende, at alle installationer bliver opdateret til den nye udgave. Situationer som denne viser, hvor vigtigt det er for virksomheder eller offentlige myndigheder at have et præcist overblik over ens it-infrastruktur og hvilken software, der er i brug. Ofte er det relativt nemt at foretage opdateringerne, men det kræver, at man ved hvad der har behov for at blive opdateret - med meget kort varsel, når nye sårbarheder bliver fundet og de rettede udgaver er blevet gjort tilgængelige.

Viser den aktuelle sag, at vi har et grundlæggende problem med internettets infrastruktur?

Internettet er i dag uundværligt og giver stor værdi for mange former for digital kommunikation, men jo mere vi gør os afhængige af det, jo større problemer har vi, når sådanne fejl opstår.

Var det en overreaktion af lukke fx AULA ned?

Nej, det var helt korrekt at lukke AULA ned hurtigst muligt, mens man opdaterede PHP.

Hvordan undgår vi, at det sker igen?

Vi bør investere mere i at modernisere den softwareteknologi, der bliver anvendt. Dette kræver en massiv indsats både i forskning og undervisning.

Hvordan ser internettet om fem år? Er det sikrere eller endnu mere usikkert end i dag?

Om fem år har vi endnu mere internet-baseret software, og AI har til den tid fundet utallige sårbarheder. Vi kan håbe, at sårbarhederne først bliver fundet og indrapporteret af ansvarlige personer, som i det aktuelle tilfælde med PHP, og ikke af ondsindede aktører. Samtidig vil nye resultater fra forskning i it-sikkerhed give os bedre redskaber til at udvikle mere robuste it-systemer med mindre risiko for sikkerhedsproblemer.