PHP-sårbarheden var kendt i ti uger

Onsdag aften lukkede kommunernes it-fællesskab Kombit en række tjenester, blandt andet Aula, og Københavns Kommune tog sin hjemmeside af nettet. Årsagen var PHP-sårbarheden, to kritiske fejl i det programmeringssprog, der kører omkring 70 procent af verdens hjemmesider. Besøgende mødte en besked om opdatering.

De, der skulle rette fejlene, kendte dem længe. Sikkerhedsfirmaet Calif meldte en af dem til PHP’s udviklere 11. august, og de første spor var set allerede i 2024. Offentligheden hørte om dem tirsdag 20. oktober.

Mellem de to datoer gik ti uger, hvor udviklere og sikkerhedsfirmaer arbejdede på sagen. Alle andre fik under et døgn.

PHP-sårbarheden havde sit første spor i 2024

I 2024 fik PHP sin første eksterne sikkerhedsgennemgang i årevis. Den tyske Sovereign Tech Agency betalte, organisationen OSTIF stod for arrangementet, og firmaet Quarkslab udførte arbejdet. Mens en PHP-udvikler rettede et af Quarkslabs fund, så han de første tegn på problemet bag den ene af de nye fejl, skriver PHP Foundation.

En mulig udnyttelse blev gennemtænkt, men ingen konkret angrebsvej blev fundet, og andre fejl med tydelig virkning fyldte mere.

Rettelsen var svær. Sikkerhedsholdet udviklede flere løsninger, og hver havde en pris: brud med ældre kode, nye veje til at lamme servere eller ændringer i mange udvidelser fra tredjepart. Holdet arbejder efter konsensus, og arbejdet gik i stå og startede forfra gentagne gange over måneder.

Foundationen kalder selv forsinkelsen en strukturel fejl, forårsaget af holdets beslutningsproces og mangel på ressourcer. Den siger, at beslutninger nu skal kunne tages ved flertal. Først da rapporterne fra Calif, OpenAI og Wiz viste fejlens fulde rækkevidde, blev den hovedprioritet.

AI fandt fejlen, og en direktør gentog fundet på en nat

Fundene kom fra AI-modeller. Ifølge OpenAI fandt Calif en af fejlene med firmaets model GPT-5.6 Sol, mens Wiz selvstændigt fandt begge. PHP Foundation oplyser, at OpenAI selv meldte samme grundfejl som Calif den 11. august og flere angrebsveje 18. september.

Chainguards direktør Dan Lorenc fik fredag 16. oktober at vide af en af forskerne, at noget var på vej i PHP. Samme aften fandt han og hans hold de samme hukommelsesfejl med firmaets AI-værktøj og en frontmodel, fortæller han til The Register. Opgaven var en helt enkel opfordring til at finde alvorlige sårbarheder i PHP.

Lorenc siger, at man i dag kan bygge et angreb på få timer uden at kende fejlen. Sikkerhedsforsker Nicholas Weaver forklarer hvorfor: AI er god til at gøre en rettelse til et angreb, fordi rettelsen viser, hvad der er ændret. Hans konklusion er, at opdateringer nu skal installeres næsten øjeblikkeligt.

Læs også: Ingen lov kræver at OpenAI melder når AI’en flygter

PHP Foundation bruger selv AI. Tidligere i år scannede den PHP med Anthropics Claude Mythos og har siden føjet blandt andet OpenAIs Daybreak Red til for at validere rapporter. Siden 1. juli har holdet udgivet 15 sårbarheder og gennemgået mere end 100 rapporter, der viste sig at være ugyldige, dubletter eller umulige at gentage.

Det Hvide Hus fik besked fredag, offentligheden tirsdag

Den amerikanske regering fik kendskab til sårbarhederne fredag 16. oktober, siger Det Hvide Hus. Regeringen siger, at den koordinerede med føderale myndigheder og førende AI-laboratorier for at fremskynde rettelsen.

OpenAI siger, at firmaet koordinerede med amerikanske og udenlandske myndigheder, blandt andre den amerikanske cybermyndighed CISA og kontoret for den nationale cyberdirektør i Det Hvide Hus. Redegørelsen nævner også internationale partnere uden at navngive dem.

Linuxdistributioner og leverandører af langtidssupport fik rettelsen før offentliggørelsen, og nogle få leverandører af kritisk infrastruktur fik afbødende råd natten til onsdag, skriver PHP Foundation. Cloudflare oplyser, at firmaets firewall blokerede forsøg på udnyttelse fra klokken 03.02 UTC onsdag, godt ti timer før rettelsen udkom.

For alle andre begyndte det med et rygte. Tirsdag omkring klokken 15 UTC begyndte to sårbarheds-id’er at cirkulere på fora og sociale medier, med forkert udgivelsestidspunkt og en alvorlighedsscore på 10,0 (den rigtige er 9,2).

PHP rykkede udgivelsen en dag frem og varslede klokken 19.30 UTC tirsdag. Rettelsen udkom onsdag klokken 13.30. Fra varsel til rettelse gik 18 timer, og dem fik alle uden for kredsen at handle i.

Embargoen røg, og alle peger på hinanden

Omkring klokken 20 UTC tirsdag offentliggjorde Calif ved en fejl en video, der viste et angreb virke mod flere mål. Kopier af den slettede video cirkulerede snart og fremskyndede udviklingen af angrebsprogrammer, skriver PHP Foundation.

Onsdag klokken 07.41 UTC, mere end seks timer før den aftalte udgivelse, offentliggjorde Chainguard færdigbyggede softwarepakker (images) med rettelsen. Foundationen skriver, at enhver angriber dermed kunne studere rettelsen, mens alle andre ventede, og at det tilsidesatte ugers arbejde med koordineret offentliggørelse.

Lorenc afviser at have lækket. Han siger, at folk blev ramt, før PHP’s offentliggørelse, og at reglen er koordineret offentliggørelse, medmindre der er tegn på aktiv udnyttelse. Han ville ikke gøre noget anderledes. Firmaets honeypots (lokkeservere, der skal tiltrække angribere) fangede onsdag IP-adresser fra Kina og Rusland, der gik efter sårbarhederne.

Jake Knott, chef for trusselsefterretning hos watchTowr, sagde onsdag, at selskabet allerede så forsøg på udnyttelse, blandt andet med såkaldt vibekodede angrebsprogrammer, altså kode skrevet hurtigt med AI. Ingen var lykkedes, men han ventede ikke, at det ville vare ved. Huntress havde onsdag eftermiddag ikke set udnyttelse hos sine kunder.

Den lange hale af gamle sider

Rettelserne gælder PHP 8.2 og nyere. PHP 8.1 og ældre får ingen officielle opdateringer, og Cisco anslår ifølge Cybersecurity Dive, at omkring halvdelen af de internetvendte installationer er for gamle til rettelserne. Skøn over antallet af udsatte sider og installationer spænder fra mere end 1,3 til mere end 22,6 millioner.

PHP’s sikkerhedshold har lavet minimale kilderettelser til PHP 7.4, 8.0 og 8.1 til dem, der bygger selv. Til gamle versioner anbefaler Huntress at slå en indstilling for uploadforløb fra og at isolere løsningen fra internettet.

Læs også: Digital ID-tegnebog: Hvem tjener på din identitet?

Jeppe Engell, cybersikkerhedsekspert i Dansk Industri, siger, at alle skal opdatere nu og ikke i morgen. »Mange virksomheder bruger PHP uden at vide det«, siger han, fordi det ligger i en løsning fra en leverandør eller et webbureau. Han nævner også glemte kampagnesider og testmiljøer, som ingen holder øje med.

Styrelsen for Samfundssikkerhed skrev onsdag, at systemer kan være nødt til at gå offline, indtil de kan opdateres. Minister for samfundssikkerhed og beredskab Lisbeth Bech-Nielsen (SF) sagde til TV 2, at fejlen potentielt kan være rigtig alvorlig, og at man bør overveje at gå offline, hvis opdatering ikke kan ske med det samme.

OpenAI vil skrive reglerne

OpenAI udgav onsdag sin egen redegørelse og et forslag med fem trin til at håndtere AI-fund i udbredt software. Firmaet siger, at det i to måneder ledte en koalition af vedligeholdere, forskere og sikkerhedsudbydere, og at AI fandt hullerne, før angriberne gjorde.

I forslaget beslutter vedligeholderne, hvem der får besked i forvejen, ud fra organisationens beskyttende rolle, tiden til at handle og evnen til at håndtere følsomme oplysninger. OpenAI tilbyder hjælp til kontakt, aftaler om informationsdeling og koordinering.

PPC Land påpeger, at den, der laver aftalerne og introduktionerne, får stor indflydelse på listen, og at den part her også var firmaet bag den model, der fik æren for et fund. Mediet bemærker, at OpenAI sælger de modeller og det sikkerhedsprodukt, redegørelsen beskriver, og at den hverken nævner lækagen eller angrebstrafikken, som Cloudflare rapporterede samme dag.

OpenAI stiller også spørgsmålet, om regeringer eller andre bør kunne udnytte en sårbarhed til at lappe systemer, de ejer eller må administrere, efter at have mistet adgangen. Firmaet kan forestille sig konstant scanning af hele internettet efter kendte sårbarheder, hvor ejerne enten får besked, eller systemet bliver lappet.

OpenAI forventer selv, at lignende fund stiger kraftigt i de kommende måneder. Første udkast til reglerne for, hvem der får besked først, kommer fra et firma, der sælger de modeller, der finder fejlene.

ExtraFokus.com: Dybere blik på teknologi og digital magt.