Al­var­legur veik­leiki hjá fjölda vef­síðna

„Það fundust tveir mjög alvarlegir veikveillar í PHP-forritunarmálinu,“ segir Magni R. Sigurðsson, forstöðumaður CERT-IS, í samtali við fréttastofu.

„Veikleikinn gerir kleift að taka yfir vefþjón og komast inn á hann í gegnum þennan veikleika og ná stjórn á honum og þar á meðal mögulega öllum gögnum sem eru þar á bak við.“

Upplýsingunum um veikleikann var lekið áður en lagfæring við honum var gefin út og skapaði það ákveðna áhættu. PHP-teymið hefur þegar gefið út neyðaruppfærslu og eru allir sem reka vefsíðu eða vefkerfi á PHP hvattir til þess að uppfæra kerfin sín strax. 

Magni segir að starfsmenn CERT-IS vinni að því að kortleggja vefi á Íslandi sem nýta sér PHP og hafa einnig samband við sinn þjónustuhóp. Hundruð eða jafnvel þúsundir vefa á Íslandi nota PHP-forritunarmálið.

Á heimasíðu CERT-IS má sjá lifandi frétt þar sem allar nýjustu upplýsingar koma fram. Magni hvetur alla til að fylgjast með allri óeðlilegri umferð á vefsíðum þeirra.

„Það sem við erum að sjá er að hýsingaraðilar eru að taka niður vefsíðurnar tímabundið á meðan uppfærslur eru framkvæmdar, sem er það sem að við viljum sjá að þessu sé tekið alvarlega.“

Persónuupplýsingar geta verið undir

Vefsíður Háskóla Íslands nota PHP-forritunarmálið og hefur öllum síðum þeirra, þar á meðal innra kerfinu sem nefnist Ugla, verið lokað tímabundið. Vefir HÍ voru aftur opnaðir rétt fyrir klukkan fjögur eftir að kerfin voru uppfærð.

Magni segir það misjafnt eftir því hvernig umsjónarkerfi eru sett upp hvaða upplýsingar væri hægt að komast yfir með þessum galla.

„Innskráningarupplýsingar og annað getur verið undir, persónuupplýsingar sem eru skráðar í gagnagrunninn og annað. Það er misjafnt eftir vefsíðum.“

Öryggisgallinn á ekki einungis við vefsíður á Íslandi heldur út um allan heim. Í frétt BBC segir að einnig hafi verið lokað tímabundið fyrir vefsíður finnskra og hollenskra stjórnvalda vegna gallans. 

Þar kemur fram að PHP knýi áfram vefi sem byggja á WordPress, Drupal, Joomla og Magento. Notkunin á tækninni sé útbreidd og geti legið að baki opinberum vefsíðum, vefumsjónarkerfum og fleiru án þess að fyrirtækið eða stofnunin sem notar það viti af því.

Fréttin hefur verið uppfærð.