Da nyheden brød ud onsdag den 22. oktober om, at PHP havde en hackbar sårbarhed, havde de fleste aldrig hørt om det pågældende programmeringssprog. Ifølge rapporten fra AJ Vicens ligger PHP til grund for cirka 70 procent af alle websites, og afsløringen sendte virksomheder og sikkerhedsteams ud i panik. Hvis du undrer dig over PHP-sårbarheden og over, hvordan du forbliver sikker, er det korte svar, at de mest effektive beskyttelser sker på din side af skærmen, og de er enkle.

En note om, hvad vi ved: kildeartiklens tilgængelige tekst er kort, og den placerer nyheden i en bredere diskussion om AI-forstærket hacking. Vi vil ikke spekulere i tekniske detaljer om fejlen ud over det, der er rapporteret. Det, vi kan gøre, er at forklare, hvorfor en fejl som denne er vigtig for almindelige brugere, og hvilke vaner der reducerer din eksponering.

Hvorfor en PHP-fejl når ud til almindelige brugere

PHP er et serversidesprog. Det kører bag kulisserne på webservere og genererer de sider, du ser, når du logger ind, handler eller læser nyheder. Du installerer det aldrig, og du ser det aldrig, men hvis det website, du bruger, kører på det, kan en svaghed i PHP blive en svaghed i det website.

Det er derfor, rækkevidden er så bred. Med PHP som fundament for cirka 70 procent af websites, ifølge rapporten, omfatter den berørte pulje små virksomheders websites, netbutikker, blogs og tjenester, hvor du måske har en konto. At løse problemet er primært ejerne af websiderne og hostingudbydernes opgave, som skal anvende patches. Du kan ikke patche en andens server.

Det, du kan kontrollere, er, hvor meget skade et kompromitteret website kan gøre mod dig. Hvis et website, du bruger, bliver brudt, er spørgsmålene, om din adgangskode virker andre steder, om et stjålet login alene er nok til at komme ind, og om du vil blive narret af de opfølgende svindelnumre, der ofte dukker op bagefter.

Hvordan AI fremskynder hacking og svindel

Artikelens overskrift peger på AI-forstærket hacking, og bekymringen er let at forstå. Automatiserede værktøjer kan hjælpe angribere med hurtigere at scanne for sårbare websites og udforme mere overbevisende beskeder i stor skala. En svindel-e-mail, der engang afslørede sig selv med kluntet formulering, kan nu læses fejlfrit.

Kildeartiklen indeholder et afsnit rettet mod svindleres taktikker, herunder en advarsel om uopfordrede links. Den praktiske lektie er, at du ikke længere kan regne med at spotte dårlig grammatik eller åbenlyse fejl. Stol i stedet på proces: verificér, hvor en besked kom fra, før du handler på den.

Fem praktiske skridt til at beskytte dig selv

Disse vaner er generel bedste praksis snarere end en gengivelse af artiklens præcise liste, som ikke er fuldt tilgængelig for os. De håndterer den eksponering, som en sårbarhed som denne skaber.

  1. Hold din software opdateret. Slå automatiske opdateringer til for dit styresystem, din browser og dine apps. Hvis du driver dit eget website eller en WordPress-lignende blog på PHP, skal du opdatere platformen, plugins og PHP-versionen hurtigt, eller bede din host om at bekræfte, at de har patchet.
  2. Vær på vagt over for uopfordrede links. Klik ikke på links i uventede e-mails, SMS'er eller beskeder, selv hvis de ser velkendte ud. Skriv webstedsadressen selv, eller brug et gemt bogmærke.
  3. Brug en unik adgangskode til hver konto. Hvis et website kompromitteres, forhindrer en unik adgangskode, at skaden spreder sig. En adgangskodeadministrator gør dette realistisk.
  4. Slå to-faktor-godkendelse (2FA) til. Selv hvis en adgangskode lækker, gør et ekstra trin det meget sværere for en angriber at komme ind. Autentificeringsapps eller hardwarenøgler er generelt stærkere end SMS-koder.
  5. Hold øje med opfølgende svindelnumre. Efter en bredt omtalt fejl kan du forvente beskeder, der hævder at være "sikkerhedsalarmer" fra virksomheder, du bruger. Gå direkte til virksomhedens officielle website eller app i stedet for at bruge det angivne link.

Hvad en VPN beskytter mod, og hvad den ikke beskytter mod

En VPN krypterer din trafik mellem din enhed og VPN-serveren, hvilket er nyttigt på offentligt Wi-Fi, hvor andre på samme netværk ellers kunne observere din aktivitet. Den kan også skjule din IP-adresse for de websites, du besøger.

Det, den ikke gør, er at rette en fejl i et websites kode. Hvis en server, der kører sårbar PHP, kompromitteres, ændrer en VPN på din enhed ikke på det. Den vil heller ikke forhindre dig i at indtaste din adgangskode på en phishing-side. Betragt den som et begrænset lag, ikke som et skjold mod denne slags problem. For kontekst om, hvorfor kryptering og privatlivsværktøjer fortsat er en aktuel politisk debat, se vores dækning af, hvordan Chat Control 2.0 stadig truer EU-kryptering, siger kritikere.

Hvad dette betyder for dig

Du behøver ikke forstå PHP for at reducere din risiko. Afsløringen er primært en påmindelse om, at dine konti ligger på servere, du ikke kontrollerer. Antag, at ethvert website kan blive brudt en dag, og indstil dine konti, så et brud er en ulejlighed snarere end en katastrofe: unikke adgangskoder, 2FA og skepsis over for uventede links.

Tag handling i dag

Hvis du ikke gør andet efter at have læst dette, så gør disse tre ting nu: installer ventende opdateringer, slå 2FA til for dine e-mail- og bankkonti, og udskift eventuelle genbrugte adgangskoder. At forblive sikker efter en PHP-sårbarhed handler om disse hverdagsvaner. Brug en VPN, hvis du ofte opretter forbindelse på offentligt Wi-Fi, men behandl den som ét lag blandt flere, ikke som en mirakelkur.