Newsletter Subscribe
Enter your email address below and subscribe to our newsletter
[forminator_form id="25163"]

thenextweb.com.securityweek.com+1.thenextweb.com+1.Pankit, lentoyhtiöt ja valtion virastot sulkivat verkkosivustojaan ja palveluitaan torstaina 22. lokakuuta paikatessaan PHP2Shell-haavoittuvuuksia. Tämä on nimi kahdelle kriittiselle PHP-ohjelmointikielen haavoittuvuudelle, joka pyörittää suurta osaa verkosta. Cloudflaren toimitusjohtaja Matthew Prince kertoi yhtiön havainneen "tuhansia" hyökkäysyrityksiä 10 tunnin aikana ennen haavoittuvuuksien julkistamista. BBC Newsin mukaan määrä nousi "satoihin tuhansiin kahdessa tunnissa ja miljooniin nyt". Toistaiseksi yhtään onnistunutta hyökkäystä ei ole tiedossa.cnbc.com
Haavoittuvuudet tunnetaan nimillä CVE-2026-109618 ja CVE-2026-109619, ja molempien vakavuusaste on 9.2/10. Ne mahdollistavat koodin ajamisen palvelimella ilman kirjautumista ja vaikuttavat PHP-versioihin aina 5.4-versiosta alkaen. Korjaukset löytyvät versioista 8.5.12, 8.4.27, 8.3.36 ja 8.2.35.cnbc.com
Korjausten oli määrä valmistua 22. lokakuuta. Yksityiskohdat vuotivat verkkoon 20. lokakuuta, joten PHP julkaisi ne päivää aiemmin. PHP Foundationin mukaan Calif-tutkijat myös "julkaisivat vahingossa videon", jossa näytettiin, miten haavoittuvuuksia voisi hyödyntää. Video poistettiin, mutta se levisi hakkerifoorumeilla.securityweek.com+1
Amazon Amazon.com, Inc. kertoi MadPot-sensoriverkkonsa havainneen hyökkäysyrityksiä ennen haavoittuvuuksien julkistamista. Yhtiö totesi, ettei ole vielä selvää, miten hyökkääjät saivat niistä tiedon. Yhdysvaltain kansallinen turvallisuusvirasto NSA kehotti organisaatioita sulkemaan järjestelmät, jos niitä ei voitu päivittää välittömästi. Vastaavia varoituksia antoivat virastot Singaporessa, Britanniassa, Australiassa, Kanadassa ja EU:ssa.cnbc.com+1
Bloomberg raportoi torstaina, että Mizuho keskeytti pankki- ja arvopaperipalvelunsa. Shizuoka Bank sulki myös verkkosivustonsa ja sovelluksensa, ja All Nippon Airways ANA Holdings Inc. poisti käytöstä Apple Wallet -lennollelähtökortit. Ranskassa Orange keskeytti joidenkin verkkosivustojen toiminnan päivitysten asentamisen ajaksi. Britanniassa budjettivastuuvirasto ja NHS Scotland menivät offline-tilaan keskiviikkona, ja osa BBC:n ohjelmasivuista oli alhaalla torstaina.thenextweb.com+1
Calif löysi haavoittuvuudet OpenAI:n GPT-5.6 Sol -mallilla OpenAI:n Patch the Planet -ohjelman kautta. Googlen Wiz-yksikkö käytti Gemini 4 Argon- ja GPT-5.6 Sol -malleja löytääkseen ne itsenäisesti. Anthropicin osuus oli pienempi. PHP Foundation kertoi skannanneensa PHP:tä Anthropicin Claude Mythos -mallilla aiemmin tänä vuonna ja kiitti Anthropicia työkalujen käyttöoikeudesta. Säätiö kuitenkin antaa kunnian haavoittuvuuksien raportoinnista Califille, OpenAI:lle ja Wizille.cnbc.com+1
Ryan Austin, haavoittuvuuksien löytämisessä auttanut Calif-tutkija, kutsui niitä "vakavimmaksi haavoittuvuudeksi, jonka olen koskaan löytänyt". Hän lisäsi, ettei toistaiseksi "näytä siltä, että hyökkäysten hyödyntäminen olisi kiihtynyt tai levinnyt laajalle".bbc.co.uk