Internet går inte under. Men hålet i PHP säger något viktigt.

När jag började som utvecklare för ungefär 20 år sedan var det PHP jag skrev. Det var ett språk man kunde komma igång med på en kväll. Lite HTML, några rader kod, ladda upp till servern och plötsligt hade man en webbplats som faktiskt gjorde något.

Den här veckan var det samma språk som fick parlament, myndigheter och sjukhus i flera länder att släcka sina webbplatser.

Kanske har du sett rubrikerna. Ett fel som påverkar 70 procent av internet. Webbplatser som går ner över hela världen. Och kanske har du, som många andra, undrat om Internet faktiskt kan gå sönder.

Det korta svaret är nej. Det längre svaret är mer intressant. Det säger nämligen en hel del om hur den digitala världen är byggd, och om vem som håller den uppe.

Kort summering

Den 21 oktober släppte PHP akuta uppdateringar för två kritiska säkerhetshål, kallade PHP2Shell. De gjorde det möjligt att ta över en webbserver utan lösenord.

Många webbplatser stängdes tillfälligt i väntan på uppdateringen. Internet som nät påverkades aldrig.

Krisen är ändå en påminnelse: mycket av webben vilar på gammal kod, få människor som underhåller den och sajter som ingen längre tar hand om. AI gör att felen hittas snabbare, av både försvarare och angripare.

Vad hände egentligen?

PHP är ett programmeringsspråk som körs på servrarna bakom en stor del av alla webbplatser. WordPress, Drupal, Joomla och MediaWiki, som driver Wikipedia, bygger alla på PHP. Uppskattningsvis 70 procent av webbplatserna använder det.

Under sommaren och hösten granskades PHP av flera säkerhetsföretag, bland annat Calif inom OpenAI:s program Patch the Planet. De hittade två fel i hur PHP hanterar minne och felsituationer. Rätt utnyttjade kunde felen låta en främling köra egen kod på en server, utan att logga in. Båda fick allvarlighetsgraden 9,2 av 10 (PHP Foundation).

Planen var att släppa rättningen i lugn och ro den 22 oktober. Men den 20 oktober läckte uppgifter om felen ut på forum och sociala medier. PHP tidigarelade släppet ett dygn, och den 21 oktober kom uppdateringarna.

Under tiden rådde säkerhetsmyndigheter som CERT-EU och amerikanska NSA den som inte kunde uppdatera direkt att ta sina system offline. Det var därför sajterna släcktes. Nederländska parlamentet, finska statens webbtjänster, franska prefekturer och delar av Wikimedia (Euronews). I Sverige gick CERT-SE ut med ett blixtmeddelande och KTH stängde bland annat eduVPN och sina WordPress-sajter tills de var uppdaterade.

De flesta var uppe igen inom ett dygn.

Internet är vägarna. Webbplatserna är husen.

För att förstå varför Internet inte går under behöver vi skilja på två saker som vi ofta blandar ihop: Internet och webben.

Internet är vägnätet. Kablar, routrar och adressystem som kopplar ihop tiotusentals självständiga nät över hela världen. Ingen äger det och ingen kan stänga av det med en knapp. Går en väg sönder hittar trafiken en annan.

Webbplatserna är husen längs vägarna. Och PHP är ungefär som en låsmodell som väldigt många hus råkar använda.

När du besöker en webbplats skickar din webbläsare en beställning. På servern tar PHP emot den, hämtar det som behövs och bygger ihop sidan du får se. Felet som hittades handlade om vad som händer när något går snett i det arbetet vid exakt fel ögonblick. Då kunde PHP råka använda rester från tidigare arbete som om de vore giltiga. Med rätt förberedd beställning kunde en angripare utnyttja det för att få servern att lyda.

Så när låset visade sig ha en brist valde många husägare att låsa ytterdörren och stänga för besökare medan de bytte lås. Det var en åtgärd, inte en krasch.

Det betyder inte att inget någonsin kan gå sönder. När CrowdStrikes felaktiga uppdatering 2024 fick Windows-datorer över hela världen att krascha drabbades flygbolag, sjukhus och butiker på en och samma gång. Men även då fungerade själva nätet. Det som slogs ut var en tjänst som väldigt många var beroende av.

Det är den sortens sårbarhet vi behöver prata om: gemensamma byggstenar som många litar på, inte ett Internet som plötsligt försvinner.

Vägarna fungerade hela tiden. Det var husägarna som valde att låsa dörren medan de bytte lås.

Varför så många trodde att Internet skulle försvinna

Det är inte konstigt att många blev oroliga. Flera saker samverkade.

Rubrikerna sa ”internet”. TechCrunch skrev att PHP nästan hade knäckt internet. CNN skrev om ett fel som påverkade 70 procent av internet. Siffran gällde webbplatser, men den skillnaden får sällan plats i en rubrik.

Vi såg det hända. När parlament och myndigheter plötsligt inte går att nå ser det ut som ett sammanbrott, även när det är en försiktighetsåtgärd. NSA:s uppmaning att gå offline visades över tolv miljoner gånger på X.

Tunga röster talade om undergång. Jeremie Harris på Gladstone AI skrev att det fanns en rimlig chans att internet slutar existera som vi känner det, åtminstone för en tid. Ekonomen Noah Smith rubricerade sitt nyhetsbrev The internet breaks. Azeem Azhar kallade det internets Wuhan-ögonblick. Hans underrubrik är dock mer nyanserad än jämförelsen: det internet som överlever blir säkrare, men mindre öppet.

AI gör hotet svårt att överblicka. OpenAI beskrev upptäckten som början på en ny fas, där AI kan hitta säkerhetsfel med effekt på hela internet. Samma vecka rapporterades kritiska fel även i andra vanliga verktyg. Det blir lätt en känsla av att allt rasar samtidigt.

Och i sociala medier blev det värre. Inlägg om en internet-lockdown, samordnade nedstängningar och citat som aldrig sagts spreds snabbt. En faktagranskning hittade inga källor bakom flera av påståendena.

Oro är en rimlig reaktion på något man inte riktigt förstår. Det är just därför det är värt att förklara.

Felet som fanns där när jag började

Det som fick mig att stanna upp var hur gamla felen är. Enligt CERT-SE påverkas PHP 5 och senare versioner. Det är alltså inte omöjligt att samma brister fanns i den kod jag själv körde när jag började som utvecklare.

PHP Foundation berättar öppet att de första tecknen på det ena felet hittades redan 2024, vid en extern granskning som finansierades av tyska Sovereign Tech Agency. Då såg man ingen tydlig väg till ett angrepp, och flera möjliga lösningar hade svåra nackdelar. Arbetet stannade av och startade om i månader. Stiftelsen kallar det själv ett strukturellt misslyckande, orsakat av både beslutsprocessen och bristen på resurser.

Jag tycker att det är modigt att skriva så. Och det pekar på något större.

PHP är öppen källkod. Det är fritt för vem som helst att använda, och det har gjort språket enormt spritt. Banker, myndigheter, nätbutiker och mediehus bygger på det. Men säkerhetsarbetet bärs fortfarande av en liten grupp utvecklare som finansieras av stiftelsen, plus lite ideell hjälp. Många som tjänar pengar på PHP bidrar inte alls till det.

Det är lätt att se Internet som något som bara finns, som el i väggen. Men det är kod skriven av människor, ofta för länge sedan, och underhållen av förvånansvärt få.

AI spelade roll i upptäckten, men inte på det sätt som rubrikerna ibland antyder. Calif skriver att AI hjälpte till, men att det mesta av jobbet byggde på kunskap forskarna redan hade om PHP:s kod och historia. Ingen modell kan i dag hitta alla buggar med några enkla instruktioner, åtminstone inte än.

Det gör frågan om människorna ännu viktigare. Verktygen hittar fel snabbare än någonsin. Men någon behöver fortfarande förstå koden, väga för- och nackdelar och bestämma hur felet ska rättas.

Det är lätt att se Internet som något som bara finns, som el i väggen. Men det är kod skriven av människor, och underhållen av förvånansvärt få.

Det här handlar inte om WordPress. Och ändå gör det det.

De senaste tio åren har jag ofta förespråkat att lämna WordPress. Mitt skäl har varit att det är svårt att få stabilt, säkert och effektivt över tid. Så jag ska vara ärlig här: det är frestande att se den här veckan som ett bevis.

Men felet satt inte i WordPress. Det satt i PHP självt. Att uppdatera WordPress eller dess tillägg hjälpte inte, eftersom bristen låg i grunden som allt annat står på (Gate News). En Drupal-sajt eller en egenbyggd PHP-tjänst var lika utsatt.

Ändå tycker jag att veckan säger något om det jag har pratat om. För frågan som avgjorde hur illa det blev var inte vilket system man använde, utan vem som tar hand om huset.

Den som hade sin sajt hos ett webbhotell med automatiska uppdateringar var skyddad tidigt. Tyska Ionos hade till exempel redan uppdaterat sina system. Den som har en egen server, eller en gammal kampanjsajt som ingen tittat på sedan 2019, har däremot ett problem. En säkerhetsforskare varnar för att många sajter och personer inte kommer att känna till det här på dagar, veckor eller månader. Palo Alto Networks räknar med över 22 miljoner exponerade installationer som kan vara sårbara.

Varje lager du kör själv är något som behöver underhållas: servern, PHP, publiceringssystemet, tilläggen, temat. En WordPress-sajt har ofta väldigt många sådana lager och väldigt många dörrar. Det är där jag tycker att kritiken har sin poäng. Inte för att WordPress är dåligt, utan för att det är lätt att bygga något som ingen orkar ta hand om.

Så min fråga till dig som har en webbplats är inte i första hand vilken plattform du borde byta till. Den är: vem håller koll på låsen, och hur snabbt kan de byta dem?

Det som faktiskt förändras

Internet gick inte sönder. Men något förändrades ändå den här veckan.

Tiden mellan att ett fel blir känt och att någon försöker utnyttja det krymper. Amazon såg ett angreppsförsök redan den 17 oktober, fyra dagar innan felen offentliggjordes. Deras råd är att räkna i timmar, inte i dagar eller veckor.

Angriparna använder också AI. Palo Alto beskriver ett angrepp mot en europeisk myndighet där angriparna med hjälp av AI-agenter inom två timmar kommit åt lösenord och inloggningsuppgifter.

Samtidigt finns det goda nyheter. Branschen hade samordnat sig i flera veckor och de stora aktörerna hann uppdatera. Hittills har det inte setts något massutnyttjande (TechCrunch). Systemet fungerade, med skavanker.

Det troliga är alltså inte att Internet försvinner. Det troliga är att vi får fler sådana här veckor, och att de ställer högre krav på hur vi underhåller det vi bygger.

Vad du kan göra

Om du har en webbplats eller ansvarar för en:

Kontrollera vilken PHP-version som körs. Säkra versioner är 8.2.35, 8.3.36, 8.4.27 och 8.5.12 eller senare. Version 8.1 och äldre får inga uppdateringar alls.

Fråga ditt webbhotell eller din leverantör om de har uppdaterat. Ett kort mejl räcker.

Slå på automatiska säkerhetsuppdateringar om det går.

Gör en lista över alla sajter ni har, även gamla kampanjsajter, intranät och testmiljöer. Det är ofta de bortglömda som blir problemet.

Be den som sköter tekniken att leta efter tecken på intrång, med start den 17 oktober.

Om du är en vanlig internetanvändare:

Du behöver inte göra något särskilt. Var lite extra vaksam de närmaste veckorna på mejl om dataintrång eller inloggningar, och byt lösenord om en tjänst du använder ber dig om det.

Internet är lagat av människor

Jag tror att det finns något fint i den här historien, trots allt. När felen blev kända arbetade utvecklare, säkerhetsforskare och it-avdelningar över hela världen, ofta dygnet runt, för att täppa till hålen. Myndigheter delade information. Webbhotell uppdaterade för sina kunder. De flesta av oss märkte knappt något.

Det är så Internet fungerar. Inte som en maskin som bara går, utan som något människor ständigt lagar.

Och det är kanske där frågan landar. Om så mycket av vårt samhälle vilar på kod som underhålls av så få, vem tar ansvar för att det fortsätter fungera?

Vilken del av den digitala grunden som din verksamhet står på har du aldrig funderat över, och vem tar hand om den?

Detta är en personlig reflektion av Tobias Landén, Qlok. Har din verksamhet påverkats av säkerhetshålen i PHP, eller funderar ni på hur ni tar hand om era webbplatser? Hör gärna av dig. Vi gillar att tänka högt om det här tillsammans med andra.

Att kika vidare på

TechCrunch har gjort en bra genomgång av vad som hände och varför det var allvarligt.

PHP Foundation berättar själva om hur felen hittades och vad de behöver framåt.

Calif har skrivit sin egen berättelse om upptäckten, med serieteckningar.