Amazon: PHP2Shell-angrep startet dager før sikkerhetsoppdateringer

Angripere har utført millioner av forsøk på å utnytte PHP2Shell-sårbarhetene, to kritiske svakheter i programmeringsspråket PHP. Amazon opplyser at det første forsøket de observerte, skjedde fire dager før sikkerhetsoppdateringene ble lansert. Likevel melder europeiske cybersikkerhetsmyndigheter at hackere har hatt problemer med å omsette svakhetene til fungerende angrep, noe som reiser spørsmål om hvor stor skade den lekkede og forhastede offentliggjøringen faktisk har forårsaket.

En bølge av angrepsforsøk

Cloudflare-sjef Matthew Prince uttalte tidlig torsdag at selskapet hadde observert millioner av angrepsforsøk, melder Politico. Cloudflare telte tusenvis av forsøk i løpet av de 10 timene før den offentlige kunngjøringen, titusenvis i løpet av 45 minutter etterpå, og hundretusenvis innen to timer, ifølge The Register. Cloudflare opplyste også at angripere justerte nyttelasten for å forsøke å omgå brannmurreglene.politico.eu+1

Sårbarhetene spores som CVE-2026-109618 og CVE-2026-109619. Begge har en alvorlighetsgrad på 9,2 og kan tillate en angriper å kjøre kode på en server uten å logge inn. PHP lanserte rettelser 21. oktober i versjonene 8.5.12, 8.4.27, 8.3.36 og 8.2.35, ifølge Security Affairs. PHP-teamet måtte fremskynde utgivelsesdatoen etter at detaljer om feilene lekket på nett, melder BleepingComputer.bleepingcomputer.com+1

Amazons tidlige deteksjon

I et blogginnlegg skriver Amazon Threat Intelligence at deres MadPot-honeypot-nettverk, en samling lokkesystemer bygget for å tiltrekke seg angripere, registrerte et PHP2Shell-angrepsforsøk lørdag 17. oktober. Forsøket kom fra en IP-adresse knyttet til et kommersielt anonymiseringsnettverk. Det forblir uklart hvordan aktøren fikk tak i informasjon om sårbarheten før offentliggjøringen, skriver CJ Moses, sikkerhetsdirektør i Amazon.aws.amazon.com

Den 21. oktober observerte Amazon flere bevis på konsepteksploiteringer fra rundt klokken 02:00 UTC, omtrent 12 timer før utgivelsen klokken 14:00 UTC. Nyttelasten varierte, noe Amazon sier tyder på flere aktører. Selskapet uttalte at PHP2Shell nå blir bredt utnyttet, men la til at det er uklart om noen av disse forsøkene ville fungert mot reelle systemer. Amazon rådet organisasjoner til å se etter mistenkelig aktivitet tilbake til minst 17. oktober, melder The Register.theregister.com

Myndigheter ser få suksesser

Thomas Caspers, visepresident i det tyske cybersikkerhetsbyrået BSI, fortalte Politico at etaten hadde sett angrep, men ingen vellykkede utnyttelser. Det virker litt mer komplisert enn forventet å utnytte sårbarheten, sa han. Matthijs van Amelsfort, leder for det nederlandske cybersikkerhetsbyrået, sa at det ikke var tegn til at svakheten ble aktivt misbrukt, selv om han advarte om at det kunne endre seg.politico.eu

Flere europeiske offentlige etater tok nettsidene sine offline som et sikkerhetstiltak. Torsdag morgen viste nettsidene til det franske justisdepartementet og datatilsynet fortsatt meldinger om vedlikehold, melder Politico.politico.eu