PHP Foundation innrømmer at strukturell svikt forsinket sikkerhetsfiks

PHP Foundation uttalte onsdag 21. oktober at forsinkelsen i å rette opp en av to kritiske sårbarheter i programmeringsspråket PHP var en strukturell svikt. Innrømmelsen kom etter at nødfikser ble publisert og myndigheter verden over tok nettsteder offline som et sikkerhetstiltak, melder Reuters via The Standard. Ifølge stiftelsen oppdaget en forsker de første tegnene til en sårbarhet i 2024, men siden ingen konkret angrepsmetode ble funnet da, ble andre problemer med tydeligere konsekvenser prioritert.thestandard.com.hk

En fiks som stoppet opp i måneder

I et blogginnlegg sitert av LWN skriver stiftelsen at sikkerhetsteamet hadde flere motstridende løsningsforslag. Hvert alternativ hadde en kostnad: ett brøt med bakoverkompatibilitet, ett skapte en ny risiko for tjenestenektangrep, og ett krevde endringer i mange tredjepartsutvidelser. Teamet tok beslutninger basert på konsensus og fryktet konsekvensene av å velge feil løsning. Siden ingen rute til fjernkjøring av kode var kjent, og de få kjerneutviklerne med inngående kjennskap til motoren hadde mange andre oppgaver, stoppet arbeidet opp og startet på nytt gjentatte ganger over flere måneder. Vi skal ikke late som noe annet: forsinkelsen var en strukturell svikt, forårsaket av både sikkerhetsteamets beslutningsprosess og mangel på ressurser, uttaler stiftelsen.lwn.net

Saken ble akutt igjen den 11. august. Den dagen rapporterte sikkerhetsselskapet Calif og OpenAI uavhengig av hverandre om samme rotårsak, og Calif demonstrerte at de kunne kjøre kode eksternt uten begrensninger, melder Cointelegraph. Stiftelsen opplyser at de siden har endret beslutningsprosessen fra konsensus til flertallsavstemning og ansatt to nye ingeniører. De oppfordret også selskaper og myndigheter som er avhengige av PHP til å bidra økonomisk til sikkerhetsarbeidet, melder The Next Web. Utgivelsen ble fremskyndet med én dag etter at sårbarhetsidentifikatorene lekket på nett, og stiftelsen kritiserte Chainguard for å publisere patchede bilder før den koordinerte utgivelsen.tradingview.com+1

Nettsteder går i svart

Sårbarhetene, med kallenavnet PHP2Shell, spores som CVE-2026-109618 og CVE-2026-109619. De er rettet i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35, og alle PHP-installasjoner som håndterer nettforespørsler er potensielt berørt, melder The Register. Cybersikkerhetsmyndigheter i USA, Storbritannia, Canada, Australia og EU ba nettstedsoperatører om å koble fra sider inntil de kunne oppdatere, melder Cybersecurity Dive. Sikkerhetsjournalist Brian Krebs anslår at nesten 70 prosent av alle nettsteder trenger oppdateringen.theregister.com+2

Nederland stengte sin digitale identitetstjeneste. Finlands statlige IT-leverandør Valtori koblet fra offentlige nettjenester, og Frankrike tok midlertidig ned nettsider for prefekturer, melder Cointelegraph. Wikimedia Foundation koblet også fra enkelte støttetjenester. Coinbase ↘ 2.62% opplyste at de ikke fant noen eksponerte PHP-instanser.tradingview.com

Det amerikanske cybersikkerhetsbyrået CISA uttalte at de ikke hadde observert utnyttelse av disse sårbarhetene da de publiserte sin advarsel. De advarte imidlertid om at de utgjør en risiko for organisasjoner dersom de forblir uoppdaterte, ifølge Reuters.thestandard.com.hk