Amazon: PHP2Shell-sårbarheter utnyttes nå i stor skala

Nettsider tilhørende myndigheter, skoler og sykehus over hele Europa gikk offline onsdag 21. oktober. Operatører jobbet på spreng for å beskytte serverne sine mot to kritiske sårbarheter i PHP, programmeringsspråket som driver en stor del av nettet. Enkelte organisasjoner i USA valgte også å ta ned sine sider. Sårbarhetene, CVE-2026-109618 og CVE-2026-109619, er samlet kjent som "PHP2Shell." Begge har en alvorlighetsgrad på 9,2 av 10, og begge kan la en angriper kjøre kode på en server uten å logge inn.apnews.com+2

PHP-utviklerne lanserte rettelser i versjonene 8.5.12, 8.4.27, 8.3.36 og 8.2.35 rundt klokken 13:30 UTC på onsdag. Utgivelsen kom en dag tidligere enn planlagt fordi identifikatorene hadde lekket.detroitnews.com+2

Nettsteder går i svart

I Nederland fulgte mange organisasjoner det nasjonale cybersikkerhetssenterets råd om å ta offentlige nettsider offline. Dette inkluderte havnen i Rotterdam, offentlig portal Overheid.nl og en rekke sykehusnettsider. Finlands statlige IT-senter Valtori stengte ned offentlige nettjenester. Tysklands føderale IT-leverandør og Frankrikes innenriksdepartement, som drifter prefektursidene, tok ned sider som et føre-var-tiltak. Belgias utenriksdepartement gjorde det samme. I Danmark stengte det kommunale IT-selskapet Kombit flere tjenester, inkludert den nasjonale kommunikasjonsplattformen for skoler. Wikipedia, 4chan og DeviantArt ble også forstyrret.reuters.com+2

NSA, FBI og CISA oppfordret alle organisasjoner til å oppdatere umiddelbart eller ta systemene sine offline. CERT-EU, ENISA og Europol utstedte en felles uttalelse der de ba organisasjoner om å isolere eksponerte applikasjoner til de kunne bli patchet.enisa.europa.eu+1

Funnet med KI

OpenAI uttalte at de ledet en koalisjon som brukte to måneder på sårbarhetene. De kalte dem "en av de mest virkningsfulle sikkerhetsproblemene i nyere tid" og sa at KI så ut til å finne dem før angripere gjorde det. Sikkerhetsgruppen Calif fant en sårbarhet ved hjelp av en OpenAI-modell, og Google-eide Wiz oppdaget feilene uavhengig med KI. Wiz sa at sårbarheten hadde ligget i PHP i omtrent 20 år fordi utnyttelse krevde en kjede av steg "på grensen av hva menneskelige forskere praktisk talt kunne oppnå".theverge.com+1

Angrep oppstår

Tidlig på dagen sa Cloudfares teknologidirektør at selskapet "så tidlige angrep oppstå". Cloudflare rapporterte senere om topper med tusenvis av utnyttelsesforsøk. Onsdag kveld sa Amazon Threat Intelligence at PHP2Shell "nå utnyttes bredt i det fri." De sa også at et forsøk den 17. oktober tyder på at én angriper kan ha kjent til sårbarhetene tidlig. CISA sa onsdag at de ikke hadde observert utnyttelse.detroitnews.com+3

"Det som endret seg var ikke den underliggende koden, men evnen til å finne disse svakhetene og gjøre dem om til fungerende utnyttelser," sa Ismael Valenzuela fra Arctic Wolf.apnews.com