To alvorlige sikkerhedsfejl kan give uvedkommende adgang til servere bag hjemmesider og andre it-systemer. Landbrug & Fødevarer opfordrer virksomheder til at kontakte deres it-leverandør og få gennemført nødvendige opdateringer.
Hjemmesiden kan se ud, som den plejer, selv om teknologien bag den har brug for en akut opdatering.
Landbrug & Fødevarer advarer nu virksomheder om to alvorlige sikkerhedsfejl i PHP. Det er en teknologi, der blandt andet bruges bag hjemmesider, webshops og interne it-systemer samt i platforme som WordPress, Drupal og Joomla.
Organisationen har videreformidlet en varsling fra Fødevarestyrelsen og Forsvarets Efterretningstjeneste. Opfordringen til virksomhederne er at få undersøgt, hvilke systemer der bruger PHP, og få de nødvendige sikkerhedsrettelser installeret.
»Vi vil opfordre til, at I som virksomhed tager kontakt til jeres it-ansvarlige eller it-leverandør,« skriver Landbrug & Fødevarer i advarslen.
Angribere behøver ikke et kodeord
Fejlene er alvorlige, fordi de under bestemte forhold kan gøre det muligt at afvikle kode på en server uden først at logge ind.
Det betyder, at et stærkt kodeord ikke i sig selv lukker sikkerhedshullet. Problemet ligger i den software, som behandler henvendelser til serveren.
Udviklerne bag PHP offentliggjorde sikkerhedsrettelser den 21. oktober. De rettede versioner er PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35.
»Alle PHP-brugere opfordres kraftigt til at opdatere straks,« skriver udviklerne, her oversat fra engelsk.
For virksomheder, der får hjemmesiden drevet af et eksternt firma, er det derfor relevant at få bekræftet, at leverandøren har håndteret opdateringen. Den enkelte virksomhed behøver ikke selv stå for det tekniske arbejde, men bør få afklaret, hvem der gør det.
Få overblik over mere end hjemmesiden
Det britiske nationale cybersikkerhedscenter, NCSC, anbefaler også hurtig handling.
I centrets officielle vejledning er første skridt at finde de systemer i virksomheden, som bruger PHP. Systemer med adgang fra internettet bør prioriteres.
Det kan være nødvendigt at undersøge flere løsninger end den offentlige hjemmeside. PHP kan også indgå i andre programmer og tjenester, og NCSC anbefaler derfor at følge sikkerhedsopdateringer fra leverandører af produkter, der indeholder teknologien.
For en landbrugsvirksomhed er den praktiske opgave at få leverandøren til at svare på tre spørgsmål: Bruger vores systemer PHP? Er de berørte installationer blevet rettet? Og kræver nogen systemer yderligere handling?
Midlertidige tiltag lukker ikke hele hullet
PHP-udviklerne beskriver en række midlertidige indgreb, som kan begrænse bestemte angrebsveje. De understreger samtidig, at sådanne indgreb ikke gør installationen sikker.
Hvis en nødvendig opdatering ikke kan gennemføres, anbefaler NCSC at overveje at tage systemet offline, indtil det kan sikres tilstrækkeligt.
Budskabet til virksomhederne er derfor konkret: Få afklaret, om jeres systemer er berørt, og få en bekræftelse på, at sikkerhedsrettelserne er gennemført.