Amazon segir PHP2Shell árásir hafa hafist dögum fyrir plástra

Árásaraðilar hafa gert milljónir tilrauna til að nýta sér PHP2Shell veikleikana, tvo alvarlega galla í PHP forritunarmálinu. Amazon segir að fyrsta tilraunin sem þeir sáu hafi átt sér stað fjórum dögum áður en plástrar voru gefnir út. Engu að síður segja evrópskir netöryggisfulltrúar að tölvuþrjótar hafi átt í erfiðleikum með að breyta göllunum í virkar árásir, sem skilur eftir spurningar um hversu mikinn skaða lekinn og flýtirinn við útgáfuna hefur raunverulega valdið.

Fjöldi tilrauna

Matthew Prince, forstjóri Cloudflare, sagði snemma á fimmtudag að fyrirtækið hefði séð milljónir tilrauna til árása, að sögn Politico. Cloudflare taldi þúsundir tilrauna á 10 klukkustundum fyrir opinbera tilkynningu, tugi þúsunda á 45 mínútum eftir hana og hundruð þúsunda innan tveggja klukkustunda, samkvæmt The Register. Cloudflare sagði einnig að árásaraðilar væru að breyta hleðslum sínum til að reyna að komast framhjá eldveggsreglum.politico.eu+1

Veikleikarnir eru skráðir sem CVE-2026-109618 og CVE-2026-109619. Báðir fá 9,2 í alvarleikaeinkunn og geta leyft árásaraðila að keyra kóða á netþjóni án innskráningar. PHP gaf út lagfæringar þann 21. október í útgáfum 8.5.12, 8.4.27, 8.3.36 og 8.2.35, samkvæmt Security Affairs. PHP teymið þurfti að flýta útgáfudegi eftir að upplýsingar um gallana láku á netið, að sögn BleepingComputer.bleepingcomputer.com+1

Snemmtæk uppgötvun Amazon

Í bloggfærslu sagði Amazon Threat Intelligence að MadPot hunangskrukkunet þeirra, safn af tálbeitukerfum sem hönnuð eru til að laða að árásaraðila, hafi skráð PHP2Shell árásartilraun laugardaginn 17. október. Tilraunin kom frá IP-tölu sem tengist viðskiptalegu nafnleyndarneti. "Það er enn óljóst hvernig árásaraðilinn aflaði sér upplýsinga um veikleikann fyrir birtingu," skrifaði CJ Moses, yfirmaður upplýsingaöryggis hjá Amazon.aws.amazon.com

Þann 21. október sá Amazon nokkrar tilraunir til sönnunar á hugmyndum (proof-of-concept) sem hófust um klukkan 02:00 UTC, um 12 klukkustundum fyrir útgáfuna klukkan 14:00 UTC. Hleðslurnar voru mismunandi, sem Amazon segir benda til margra árásaraðila. Fyrirtækið sagði að PHP2Shell sé nú víða notað í árásum en bætti við að óljóst sé hvort einhverjar af þessum tilraunum hefðu virkað gegn raunverulegum kerfum. Amazon ráðlagði stofnunum að leita að grunsamlegri virkni aftur til að minnsta kosti 17. október, að sögn The Register.theregister.com

Embættismenn sjá fáa sigra

Thomas Caspers, varaforseti þýsku netöryggisstofnunarinnar BSI, sagði við Politico að stofnunin hefði séð árásir en engar vel heppnaðar nýtingar. "Það virðist vera aðeins flóknara en búist var við að nýta sér þetta," sagði hann. Matthijs van Amelsfort, yfirmaður hollensku netöryggisstofnunarinnar, sagði engin merki um að gallinn væri "virkt misnotaður," þó hann varaði við því að það gæti breyst.politico.eu

Nokkrar evrópskar ríkisstofnanir tóku vefsíður sínar niður til öryggis. Frá og með fimmtudagsmorgni sýndu vefsíður dómsmálaráðuneytis Frakklands og persónuverndarstofnunar landsins enn tilkynningar um viðhald, að sögn Politico.politico.eu