PHP gefur út neyðaruppfærslur vegna alvarlegra PHP2Shell galla

Á miðvikudaginn, 21. október, gáfu PHP viðhaldsaðilar út óáætlaðar öryggisuppfærslur vegna tveggja alvarlegra galla í kjarna forritunarmálsins. Gallarnir eru sameiginlega kallaðir PHP2Shell og leyfa árásaraðila án aðgangs að keyra kóða á vefþjónum. BleepingComputer greindi frá því að uppfærðu útgáfurnar séu PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Gallarnir eru skráðir sem CVE-2026-109618 og CVE-2026-109619 og eru báðir metnir á 9.2 á CVSS v4.0 kvarðanum. The Hacker News greindi frá því að PHP hafi gefið þá út um klukkan 14:00 UTC, einum degi eftir að upplýsingar láku fyrir fyrirhugaða birtingu þann 22. október.bleepingcomputer.com+1

Áhættan er mikil þar sem gallarnir eru í sjálfri keyrsluumhverfinu, ekki í einstökum forritum. Wiz Research, eitt af teymunum sem fann þá, segir að PHP knýi um 70% vefsíðna heimsins og að hver einasta PHP útgáfa frá síðasta áratug, aftur til 5.4, sé með að minnsta kosti einn af göllunum.ncsc.gov.uk

Stjórnvöld taka vefsíður úr sambandi

Opinberar stofnanir í Hollandi og Finnlandi tóku vefsíður úr sambandi sem varúðarráðstöfun, að sögn Reuters. Netöryggisstofnanir í Evrópu, Ástralíu, Japan og Bretlandi ráðlögðu PHP notendum að uppfæra strax eða taka síður sínar úr sambandi. Hollenska netöryggisstofnunin lokaði eigin vefsíðu. Það sama gerði Tweede Kamer, neðri deild hollenska þingsins, og Landstofnun um lýðheilsu og umhverfismál, samkvæmt BBC. Breska netöryggismiðstöðin ráðlagði að "þar sem tafarlaus úrbót er ekki möguleg, ættu stofnanir að íhuga að taka kerfið úr sambandi."reuters.com+1

Áður en uppfærslurnar komu út sagði Dane Knecht, tæknistjóri Cloudflare: "Við sjáum fyrstu árásirnar koma fram," og kallaði eldveggsreglur fyrirtækisins aðeins "bráðabirgðalausn". Engin staðfest innbrot hafa verið tilkynnt. Frá og með 11:26 UTC hafði watchTowr ekki séð neina misnotkun í raunheimum.thehackernews.com+1

Eldri útgáfur óvarðar

Gallarnir hafa áhrif á PHP-FPM, Apache með mod_php, php-cgi, FrankenPHP og LiteSpeed. PHP teymið segir að mod_php beri mesta áhættu, þar sem hægt er að virkja sýnilega misnotkun með óstaðfestri beiðni "áður en nokkur forritakóði keyrir". Útgáfur 8.1 og eldri eru ekki lengur studdar og fá engar opinberar útgáfur. Hins vegar, vegna alvarleika gallanna, gaf PHP teymið út lágmarks bakfærslur fyrir 7.4, 8.0 og 8.1. Árásaraðilar geta einnig lesið vinnsluminni, sem gæti innihaldið lykilorð, API lykla og vottorð. Að uppfæra forrit eins og WordPress uppfærir ekki PHP keyrsluumhverfið undir því.bleepingcomputer.com+1

Uppgötvun með aðstoð gervigreindar

Gallarnir fundust af Wiz, Calif og Codex öryggisteymi OpenAI. Samkvæmt The Hacker News hafði undirliggjandi kóði verið í PHP í meira en áratug. Wiz líkti PHP2Shell við Heartbleed og Log4Shell. Þeir sögðu að háþróuð gervigreindarlíkön hafi "verulega dregið úr" hindrunum við að breyta langvarandi galla í virka misnotkun. Fyrir útgáfuna varaði Gina Peter Banyard, kjarnahönnuður PHP, við því að "eina mótvægið er að plástra/uppfæra PHP."thehackernews.com+1