Nå lappes hullene mens vi kjører

Programmeringsspråket PHP brukes til å drive millioner av nettsteder og nettjenester verden over. Forrige uke ble det funnet to kritiske sårbarheter i PHP, som åpnet for fjernkjøring av kode uten autentisering.

De som var rammet, ble bedt om å ta serveren fysisk av nett (airgap) og installere oppgraderinger fort som fy. I Norge ble nettstedene til Digitaliseringsdirektoratet, OsloMet og Feide stengt ned.

– Dette er omtrent så alvorlig som en sårbarhet i en webteknologi kan bli, sier informatikk-professor Olaf Hallan Graven til Aftenposten.

Sårbarhetene har ligget i koden i mer enn ti år, kanskje over 20 år. Nå ble feilene funnet ved hjelp av flere KI-verktøy. 

Har ikke lappesakene klare

Også Epic, det amerikanske giga-selskapet bak Helseplattformen, brukte Claude Mythos til å analysere egne systemer. De fant at enkelte systemoppsett kunne gi tilgang til sensitive pasientjournaler, uten at det nødvendigvis ble loggført, ifølge New York Times.

De kunne heller ikke utelukke at angripere kunne manipulere pasientjournaler, som Epic indirekte håndterer for 325 millioner pasienter i verden. Derfor ble alt utviklingsarbeid satt på vent i seks uker, mens man rettet sårbarheter.

På én måte er det bra at sikkerhetshull oppdages og tettes. Men siden KI oppdager sårbarheter før leverandørene selv, har de ikke patchene klare. I mellomtiden er virksomhetene utsatt.

Allerede dagen etter PHP-nyheten, fantes det angrepskode som utnyttet sårbarheten. Mnemonic så også trafikk mot norske virksomheter. Etiske hackere i Danmark anslo at minst 21.500 danske sider fortsatt var sårbare flere dager etter at feilene var funnet. 

Et stort dilemma

Telenor sier at de har måttet lappe på systemer de bruker flere ganger det siste året, etter at KI har oppdaget sårbarheter. Dette har skutt fart det siste halvåret.

«Der man før hadde timer og dager på å agere, har vi i dag i verste fall kun minutter», skriver Telenor i sin sikkerhetsrapport.

Det stiller både Telenor og resten av samfunnet overfor et stort dilemma mellom å ha høy oppetid, og samtidig håndtere nullgangsårbarheter og patchinger.

– Du kan kanskje ikke teste engang før du oppgraderer. Det gir risiko for nedetid, sier Telenor Norge-sjef Birgitte Engebretsen til Digi.

Hun forventer at forsøk på å utnytte denne type feil og sårbarheter bare kommer til å øke.

Fest setebeltet!

Siden september har Telenor stått i en situasjon hvor Netscaler, som 95 prosent av norske virksomheter bruker, stadig finner nye sårbarheter og sender nye patcher.

Oppdatering må skje asap, samtidig som kundene forventer hundre prosent oppetid. Engebretsen kaller det «å balansere på en knivsegg», og sier at det er et alvorlig dilemma for alle samfunnskritiske sektorer.

I vårt moderne samfunn har vi lagt veldig mange egg i en kurv som avhenger av at mobilnett og internett fungerer. De nyeste KI-modellene viser at det digitale reisverket kan være skjørere enn vi trodde. 

Kanskje kan vi komme ut på den andre siden med sterkere og tettere software. Men i mellomtiden er det bare å feste sikkerhetsbeltet. Her skal skinnene repareres mens toget er i fart.