Europas cybersäkerhetsteam har sagt att webbplatser som inte kan uppdatera två kritiska PHP-sårbarheter bör fundera på att stänga ner tillfälligt. Båda bristerna kan låta angripare ta över webbservrar utan inloggning.
PHP används av många på webben, från WordPressbloggar till Magento nätbutiker. Men detaljer om båda bristerna läckte ut innan en lösning fanns klar.
Angripare fick försprång
Läckan blev känd 20 oktober, före den planerade offentliggörandet, rapporterade Huntress. PHP Foundations säkerhetsteam planerade därför att släppa en lösning 21 oktober klockan 14:00 UTC.
Säkerhetsföretaget watchTowr har kunnat återskapa en av de två buggarna, enligt Huntress. Huntress själv säger att de inte har sett några attacker på sina kunders system.
Däremot säger Cloudflare teknikchef Dane Knecht att attacker redan har börjat. Företaget har lagt in brandväggsregler mot kända attackvägar för alla kunder, även de som använder gratisversionen.
Vi ser att tidiga attacker dyker upp och vi uppdaterar skyddet när nya vägar hittas. Detta är bara ett tillfälligt stopp.
Knecht delade denna varning i ett inlägg på X.
Europeiska unionens Computer Emergency Response Team (CERT-EU) och Australiens cybersäkerhetsmyndighet har båda varnat för att dessa PHP-sårbarheter kan påverka varje version från PHP 5 och framåt, rapporterade Reuters.
Vissa forskare tror att bara PHP 8-versionerna får uppdateringar, skrev Huntress. Det kan betyda att webbplatser med äldre versioner inte får någon säkerhetslösning.
Denna varning kommer några veckor efter att över 100 företag varnade för ökande AI-attacker inom några månader.
Vad PHP-sårbarheterna betyder för webbplatsägare
PHP finns på ungefär 69 % av de webbplatser där serverns språk är känt, visar data från W3Techs. WordPress driver nästan 40 % av alla webbplatser.
CERT-EU säger att ett betyg på 9,2 i allvar betyder möjlighet till fjärrstyrd kod utan inloggning. Det betyder att utomstående kan köra skadlig kod på servrar utan behörighet.
Webbhotellet GoDaddy har varnat för att angripare kan stjäla data, ändra utseendet på webbplatser eller ta över hela systemet. Stulna uppgifter kan bli värdefulla, vilket intrången mot den sydkoreanska banken har visat.
Säkerhetspluginen Wordfence påpekar att varje WordPresswebbplats körs på en PHP-server. Men automatiska WordPressuppdateringar löser inte dessa PHP-problem. Webbplatsägare måste därför ta reda på vem som hanterar PHP åt dem.
Attacker mot vardaglig infrastruktur fortsätter att spridas, som attacken mot franska matbutikskylskåp visade i oktober. Nu har trycket flyttats till programvaran under stora delar av webben, där en missad serveruppdatering kan öppna dörren för attacker.
