Hættuástand vegna öryggisgalla í PHP-forritunarmálinu er ekki yfirstaðið að mati sérfræðings hjá CERT-IS, netöryggissveit íslenskra stjórnvalda. Bjarki Þór Sigvarðsson, fagstjóri ástandsvitundar hjá Netöryggissveitinni CERT-IS, hvetur öll minni fyrirtæki sem ekki sjá um vefi sína sjálf til þess að setja sig í samband við þá sem reka vefina til þess að athuga hvort þeir þarfnist uppfærslu.
„Og hættan er í raun ekki liðin hjá fyrr en að allir hafa uppfært,“ segir Bjarki. Mikill meirihluti, eða allt að 70%, vefsíðna á netinu reiðir sig á PHP-forritunarmálið að einhverju leyti.
„Svo það er stórt verkefni fram undan,“ segir Bjarki. Rætt var við hann í Morgunútvarpinu á Rás 2 í dag.
Bjarki segir að fyrir minni fyrirtæki sé að hafa samband við þá netþjónustu sem rekur vefinn. Einnig var birt frétt á vef CERT-IS í gær þar sem farið var yfir þau kerfi sem eru í hættu.
Óprúttnir aðilar geta nýtt sér veikleikan
Bjarki segir að gallinn hafi uppgötvast fyrr á árinu og að í raun hefði átt að láta vita af honum í dag frekar en í gær. Hins vegar hafi upplýsingar um hann lekið sem gerði það að verkum að nauðsynlegt reyndist að keyra út uppfærslur og vekja athygli á vandamálinu.
Bjarki segir að óprúttnir aðilar hefðu getað náð miklum völdum yfir vefsíðum hefðu þeir komist inn á kerfi þeirra.
„Þeir hefðu getað breytt einhverju innihaldi á vefsíðunum til þess að reyna að plata notendur,“ segir hann. „Eða reynt að brjótast lengra inn í kerfið hjá þeim sem reka vefsíðuna og tekið yfir stjórn á honum.“
Fram kom í fréttum í gær að tölvuþrjótar gætu notfært sér gallann til þess að stela upplýsingum eða komast inn í tölvur þeirra sem heimsækja vefsíður sem nota PHP og hafa ekki verið uppfærðar.
