Allvarliga säkerhetsbrister i PHP: upp till 70 procent av alla webbplatser kan vara påverkade

Den här veckan har det kommit varningar om allvarliga fel i PHP, ett programmeringsspråk som används på en stor del av alla webbplatser globalt. Förstå vad som hänt, varför du berörs och vad du borde göra för att skydda dig

Kort sagt

Allvarliga säkerhetsbrister upptäcktes i PHP, ett programmeringsspråk som används för 70% av alla webbplatser globalt
Det gör det enklare för hackare att göra intrång på webbplatser
Du kan skydda dig genom unika lösenord, tvåstegsverifiering och passkeys

Vad har hänt?

Den 21 oktober blev två säkerhetsbrister kända i programmeringskoden PHP, som används på ungefär 70% av alla webbplatser globalt. Det har gjort det mycket enklare för hackare att ta sig in på hemsidor och stjäla information.

Felen upptäcktes med hjälp av AI, och vissa av dem hade funnits i koden i över tio år utan att någon märkt dem. De finns i alla versioner av PHP som släppts det senaste decenniet. Därför kan upp till 70 procent av alla webbplatser vara påverkade, om de inte har uppdaterats.

PHP har nu släppt en uppdatering som täpper till hålen. Men varje webbplats måste själv installera den, och det tar olika lång tid. Vissa myndigheter och företag i Europa och USA har tillfälligt stängt sina sajter medan de uppdaterar.

Vad är PHP?

Varje webbplats bygger på programkod, alltså instruktioner som talar om för datorn vad den ska göra (du ser inte koden). Den arbetar i bakgrunden och ser till att sidan visas, att du kan logga in, lägga varor i en varukorg eller skicka ett formulär.

PHP är ett av de vanligaste språken för att skriva den sortens kod. Det används på allt från bloggar och föreningssidor till nätbutiker och inloggningssidor. Omkring 70 procent av alla webbplatser där man vet vilket språk som används bygger på PHP. Det betyder att många av de sajter du besöker varje vecka med stor sannolikhet använder PHP, utan att du märker något av det.

Varför berör det dig?

Problemet är att hackare kan utnyttja säkerhetsbristerna för att ta sig in på sårbara webbplatser. I det här fallet har angripare redan börjat utnyttja svagheterna. Om de lyckas ta sig in på en webbplats kan de komma åt information som lagras där, inklusive användaruppgifter, alltså till exempel din e-postadress och ditt lösenord eller andra uppgifter.

Om hackare stjäl ditt lösenord från en drabbad webbplats och du använder samma lösenord på andra sajter, kan de försöka logga in på dina andra konton också, till exempel ditt e-postkonto eller dina konton på sociala medier.

Så skyddar du dig

Du kan inte själv laga felen i PHP. Det är webbplatsernas ansvar. Men du kan se till att ett stulet lösenord inte räcker för att komma åt dina konton.

Byt lösenord på ditt e-postkonto: Din e-post är ditt viktigaste konto, eftersom den används för att återställa lösenord till nästan allt annat.
Använd ett unikt lösenord för varje konto. Om varje konto har ett eget lösenord stannar skadan på en enda sajt om något läcker. Det är svårt att komma ihåg många olika lösenord, och därför finns lösenordshanterare. Det är en app som sparar alla dina lösenord åt dig, så att du bara behöver komma ihåg ett enda. Om du inte har en extern lösenordshanterare som Proton Pass eller Bitwarden än så kan du använda appen Lösenord i din iPhone eller Googles lösenordshanterare i en Android-telefon. Läs mer: så fungerar en lösenordshanterare.
- Om du inte har en lösenordshanterare, välj ett starkt lösenord idag för din e-post som du skriver ner på en lapp och förvarar på ett säkert ställe. Längd är det viktigaste. Ett tips är att ta 4 ord med bindestreck och siffror eller tecken emellan. Exempel (välj inte specifikt detta): sol1-brunn3-kalas!-slagborr7
Slå på tvåstegsverifiering. Tvåstegsverifiering, ofta förkortat 2FA, betyder att du behöver två saker för att logga in: ditt lösenord och en kod. Koden visas i en autentiseringsapp i din telefon och den förnyas var 30:e sekund. Även om någon har stulit ditt lösenord kommer de inte in, eftersom de inte har din telefon. Slå på det på din e-post först under säkerhetsinställningarna. Vi rekommenderar apparna Proton Authenticator eller Ente Auth (men det finns många andra). Läs mer: Vad är 2FA? och vår Guide: Så aktiverar du 2FA på din e-post
Använd passkey där det erbjuds. En passkey är ett sätt att logga in helt utan lösenord. I stället bekräftar du med fingeravtryck, ansiktet eller koden du låser upp telefonen med. Eftersom det inte finns något lösenord finns det heller inget att stjäla. Allt fler tjänster erbjuder det, och du hittar det i säkerhetsinställningarna i dina konton. Läs vår Guide: Så aktiverar du passkeys på din e-post.

Kom ihåg

Du kan inte påverka om en webbplats har uppdaterat sitt system. Men du kan se till att ett läckt lösenord inte räcker för att komma åt dina konton. Börja med e-posten, ge varje konto ett eget lösenord och slå på tvåstegsverifiering.

Källor

Wiz Research, rapport om säkerhetsbristerna (PHP2Shell): https://www.wiz.io/blog/php2shell-php-rce
PHP, officiell information om säkerhetsuppdateringar: https://www.php.net/
The Next Web, om PHP:s akuta uppdateringar: https://thenextweb.com/news/php2shell-php-rce-ai-openai-wiz
CERT-SE, Sveriges nationella cybersäkerhetscenter, aktuella hot och råd: https://www.cert.se/
Internetstiftelsen, råd om lösenord och tvåstegsverifiering: https://internetstiftelsen.se/