Kort fortalt: 21. oktober ble det kjent et alvorlig sikkerhetshull i PHP, som WordPress og de fleste hjemmesider kjører på. Vi sjekket alle hjemmesidene vi drifter samme kveld og fant ingen tegn til innbrudd. Sikkerhetsoppdateringen er nå installert på alle serverne, og vi har sjekket alt på nytt etterpå. Hjemmesiden din har vært oppe hele tiden, og du trenger ikke gjøre noe.
Lurer du på hvordan kvelden faktisk så ut bak kulissene? Les videre.
Hva var det som skjedde?
Hullet fikk navnet php2shell. Litt forenklet gjorde det det mulig for en fremmed å kjøre sin egen kode på en server, bare ved å sende den riktig forespørsel. Det er omtrent det verste som kan skje med en hjemmeside.
Vanligvis får leverandørene litt tid på seg til å oppdatere før detaljene blir kjent. Denne gangen lakk de ut på forhånd, og Cloudflare så angrepsforsøk allerede samme natt. Palo Alto Networks anslo at over 22 millioner servere kunne være sårbare.
Hvordan så kvelden ut hos oss?
Vi drifter over hundre hjemmesider, fordelt på en del servere. Da nyheten kom, gikk vi gjennom server for server.
Først sjekket vi hvilken versjon av PHP hver eneste side kjørte. Svaret var ikke spesielt hyggelig. Alle var sårbare, akkurat som resten av verden den kvelden.
Neste spørsmål var om noen allerede hadde rukket å utnytte det. Vi lette etter filer som var endret de siste dagene, filer som ikke hørte hjemme der de lå, kjente spor etter bakdører og nye administratorbrukere som ingen av oss hadde laget.
Det dukket opp flere tusen endrede filer, og nesten alle var helt vanlige oppdateringer av utvidelser, cache som ble bygget på nytt og oversettelser. De få som skilte seg ut gikk vi gjennom én og én, helt til hver eneste var forklart. En av dem viste seg å være en side vi selv hadde jobbet med samme dag.
Ingen tegn til innbrudd.
Hva skjedde etterpå?
Det ble først lagt inn midlertidige beskyttelsestiltak på alle serverne, og deretter selve sikkerhetsoppdateringen. Den gjelder alle PHP-versjoner, også de eldre.
Dagen etter kjørte vi hele sjekken på nytt på alle fire serverne. Vi bekreftet at oppdateringen faktisk var på plass, og lette etter spor fra hele perioden hullet var kjent. Fortsatt helt rent.
Hva betyr dette for deg?
Ingenting, egentlig. Hjemmesiden din har vært oppe hele tiden, og du trenger ikke gjøre noe.
Lurer du på noe rundt din egen hjemmeside, så ring oss eller send en e-post.
