I dag, onsdag den 21. oktober, har det fyldt i nyhederne: To kritiske sikkerhedshuller i programmeringssproget PHP kræver øjeblikkelig opdatering. PHP bruges af omkring 70 % af alle websites i verden. Har du et website, som vi har bygget til dig på WebinOne, kan du trække vejret helt roligt. Dit website bruger ikke PHP og er ikke ramt.
Måske har du allerede fået en mail om det fra en af dine andre leverandører. Måske har du set det hos DR eller TV2. Her får du det kort og uden teknisk sprog: hvad der er sket, hvorfor dit website ikke er i fare, og hvorfor det netop var derfor, vi valgte den platform, dit website er bygget på.
Hvad er der sket?
PHP er en slags motor, der kører bag rigtig mange hjemmesider, blandt andet alle sider bygget på WordPress, som er verdens mest udbredte hjemmesidesystem. Nu har sikkerhedsforskere fundet to alvorlige fejl i selve motoren. Fejlene har ligget der i over ti år.
Fejlene er så alvorlige, at de får 9,2 ud af 10 på den internationale skala for sikkerhedsfejl. En hacker kan i værste fald overtage den server, hjemmesiden ligger på, uden at skulle logge ind. Derfra kan de stjæle oplysninger som adgangskoder og kundedata.
Derfor lyder rådet fra både Dansk Industri, CERT-EU og myndigheder i flere lande det samme: Opdatér med det samme. Kan siden ikke opdateres i dag, så luk den ned, indtil den kan. Flere offentlige hjemmesider i udlandet er allerede blevet lukket midlertidigt.
Hvorfor er dit website ikke ramt?
Fordi dit website slet ikke bruger PHP.
Dit website er bygget på en helt anden teknologi, nemlig Microsofts .NET. Fejlen sidder i PHP, og den motor findes simpelthen ikke i dit website. Så der er intet at angribe, og intet du skal opdatere.
Forklaret med en hoveddør
Forestil dig, at 70% af alle huse i verden har den samme type lås. I dag finder man ud af, at den lås kan åbnes med en simpel kode. Alle husejere med den lås skal nu skynde sig at skifte den, og indtil det er sket, står døren reelt åben.
Dit website bor i en anden type bygning. Den har en helt anden lås, som fejlen ikke virker på. Og bygningen har en vicevært, der passer på låsene for alle beboere på én gang. Du skal ikke selv holde øje med, om din lås er blevet usikker. Det gør viceværten.
Sådan adskiller dit website sig
| Typisk PHP-website (fx WordPress) | Dit website | |
|---|---|---|
| Teknologi | Kører på PHP, som er ramt af de nye fejl | Kører på Microsoft .NET. Ingen PHP, ikke ramt |
| Opdateringer | Ejeren eller webhotellet skal selv huske at opdatere hvert enkelt site | Et team vedligeholder hele platformen centralt, for alle sites på én gang |
| Plugins | Ofte mange plugins fra forskellige udviklere. Hvert plugin er en mulig dør ind | Ingen tredjeparts-plugins. Alle funktioner er bygget ind i platformen |
| Adgang til koden | Åben kode, som alle kan undersøge for svagheder | Lukket platform, der kun drives og vedligeholdes samlet |
| Hosting | Afhænger af det enkelte webhotel | Amazon Web Services, og hvert website har sin egen, adskilte database |
| SSL-certifikat (hængelåsen) | Skal ofte sættes op og fornyes manuelt | Inkluderet og fornyes automatisk hver tredje måned |
Det var netop derfor, vi valgte denne teknologi
Da vi valgte denne teknologi som fundament for dit website, var sikkerhed og ro i maven en af de vigtigste grunde. Vi ville ikke have, at vores kunder skulle ligge søvnløse, hver gang der dukker et nyt sikkerhedshul op i et af internettets mest brugte systemer. Og vi ville ikke bruge jeres tid og penge på at lappe huller i plugins.
I dag er et godt eksempel på, hvorfor det valg giver mening. Mens mange virksomheder lige nu har travlt med at opdatere, lukke ned og tjekke for indbrud, kan du bruge dagen på noget andet.
Skal du gøre noget?
Nej, ikke for det website, vi har bygget til dig.
Har du derimod andre web-løsninger, som ikke ligger hos os, er det en god idé at spørge din leverandør, om de bruger PHP, og om de er opdateret. Det kan for eksempel være:
- en ældre kampagneside eller et WordPress-site
- en webshop eller et bookingsystem hos en anden udbyder
- et intranet, en kundeportal eller et andet system med login
Er du i tvivl om noget af det, så tager vi gerne et kig på det sammen med dig. Vi følger også selv situationen tæt og giver besked, hvis der kommer noget nyt.
Har du spørgsmål? Giv os et kald eller send en mail til info@geniecorp.net.
