Många försök att utnyttja de kritiska PHP-bristerna har gjorts, men de har inte lyckats i bred skala, säger NCSC-chefen John Billow. I Umeå innebär händelsen flera veckors efterarbete, enligt kommunens verksamhetschef.

Billow gör sin bedömning i TT:s uppföljning hos Aftonbladet. Där berättar han också att Nationellt cybersäkerhetscenter har fått in incidentrapporter. De har framför allt handlat om förebyggande åtgärder som centret rekommenderat, säger han.

Krisinformations varning den 21 oktober gällde två kritiska brister i PHP, ett programmeringsspråk som används på många webbplatser och i webbtjänster. Enligt Nationellt cybersäkerhetscenter finns risk för att angripare tar sig in i drabbade system om bristerna inte åtgärdas snabbt.

Båda bristerna kan göra det möjligt att köra kod på distans utan inloggning. Rättningar släpptes den 21 oktober, enligt CERT-EU:s säkerhetsrekommendation, som uppdaterades den 23 oktober.

Umeå stängde system – Södertälje aktiverade krisledning

Trots att försöken enligt Billow inte lyckats i bred skala har kommuner behövt lägga arbete på att hantera intrångsrisken. Larmet fick också myndigheter och företag i flera länder att stänga webbplatser, enligt TT.

Umeå stängde flera system i förebyggande syfte när bristerna blev kända. De flesta har kunnat startas igen, men händelsen innebär flera veckors efterarbete för att uppgradera systemen, säger verksamhetschefen Mattias Wallmark på kommunens webbplats, enligt TT.

Södertälje aktiverade sin krisledning. Säkerhetschefen Emir Gazibegovic säger att kommunen såg en överhängande risk i sin digitala miljö. Efter en genomgång av system och servrar hade kommunen inte sett några skador eller tecken på intrång.

Gazibegovic bedömer att kostnaden för krisledningsstaben var liten jämfört med risken att förlita sig på att problemet skulle lösa sig självt.

Råd till verksamheter

Nationellt cybersäkerhetscenters rekommendationer riktar sig till verksamheter och organisationer, inte privatpersoner. De uppmanas att undersöka vilka system som använder PHP, installera säkerhetsuppdateringar och kontrollera om det finns tecken på intrång eller misstänkt aktivitet.

Enligt CERT-EU är det bara en uppdatering som helt åtgärdar de två ursprungliga bristerna. Organisationer som inte kan uppdatera direkt bör överväga att isolera internetåtkomliga applikationer från publika nätverk tills rättningen har installerats och kontrollerats.

PHP 8.1 och äldre får inte längre ordinarie uppdateringar från PHP-projektet. Vissa leverantörer erbjuder rättningar för äldre versioner. PHP:s säkerhetsteam har också publicerat minimala källkodsrättningar för versionerna 7.4, 8.0 och 8.1, bland annat för organisationer som bygger från källkod.

CERT-EU:s uppdatering från den 23 oktober tar även upp en tredje sårbarhet. Den gäller webbapplikationer med en ovanlig konfiguration och PHP-projektet bedömer risken som osannolik. CERT-EU rekommenderar en särskild skyddsåtgärd i väntan på nästa ordinarie rättning.