FBI ber om umiddelbar oppdatering av PHP-sårbarheter funnet av KI

Myndigheter og selskaper har brukt uken på å tette to kritiske sårbarheter i PHP, programmeringsspråket som driver opptil 70 prosent av alle nettsider. Forskere fant feilene ved hjelp av kunstig intelligens, og forsøk på å utnytte dem økte kraftig etter at detaljer lekket på nett. Enkelte sikkerhetseksperter har begynt å kalle perioden "Black October", melder CNBC.cnbc.com

Feilene spores som CVE-2026-109618 og CVE-2026-109619, og er samlet kjent som "PHP2Shell". De kan la angripere kjøre kode på en server uten å logge inn. PHP slapp rettelser 21. oktober for versjonene 8.2 til 8.5, melder Newsweek. I en kunngjøring fredag uttalte FBI at "sikkerhetsoppdateringer er tilgjengelige og bør installeres umiddelbart."time.com+1

Advarsler og nedetid

NSA, FBI og CISA oppfordret alle organisasjoner på onsdag til å oppdatere umiddelbart, og å koble systemer fra nett dersom de ikke kunne gjøre det, melder Nextgov. "Disse sårbarhetene gir ofte direkte tilgang til serverens filsystem eller database," skrev NSA ifølge The Hill.nextgov.com+1

Offentlige nettsider i Storbritannia, Finland og Japan opplevde nedetid eller begrenset tjeneste mens arbeidet pågikk, melder AP. I New York tok Broome County nettsiden sin offline fredag "for sikkerhets skyld". Fylkesordfører Jason Garnar oppga ikke når den ville være tilbake, melder WSKG.wskg.org+1

Hvordan feilene ble funnet

Wiz er et sikkerhetsselskap eid av Google Alphabet Inc. ↗ 0.84%. I august ba Wiz-forsker Sagi Tzadik en KI-agent om å tilpasse en WordPress-utnyttelse for Drupal. Agenten mislyktes i oppgaven, men avdekket en PHP-feil som hadde gått ubemerket hen i over et tiår, melder TIME. Uavhengig av dette fant selskapet Calif, i samarbeid med OpenAI, en relatert feil. En gruppe på rundt 15 personer jobbet deretter sammen om en rettelse.time.com

Informasjon om feilene spredte seg to dager før den planlagte oppdateringsdatoen, så PHP-utviklerne slapp rettelsen en dag for tidlig. Timer senere postet Calif ved en feil en video av sin utnyttelse. Cloudflare ↘ 1.22% talte titusenvis av angrepsforsøk innen 45 minutter etter den offentlige kunngjøringen, og til slutt millioner, ifølge TIME. PHP Foundation uttalte at problemet hadde vært kjent siden minst 2024 og kalte forsinkelsen "en strukturell svikt", melder AP.apnews.com+1

Råd til brukere

Eksperter sier at det meste av ansvaret ligger hos selskapene som driver nettsidene, men enkeltpersoner kan fortsatt beskytte seg. Dan Guido fra Trail of Bits anbefaler at folk "slår på automatiske oppdateringer for telefon, datamaskin og ruter." Andre råder til bruk av tofaktorautentisering og unike passord for hvert nettsted, melder Samaa TV. "Du kan ikke oppdatere sykehusets nettside selv," sa Guido.samaa.tv

Tidligere CISA-direktør Chris Krebs oppfordret mindre selskaper til å skanne etter sårbarheter "konstant" og installere oppdateringer så raskt som mulig. "Dette er en viktig uke eller to for cybersikkerheten," sa han til CNBC.cnbc.com