PHP-sårbarheter skaper «Svart oktober» for IT-sikkerhetsmiljøer

Nettsider drevet av myndigheter, politi og andre offentlige tjenester ble tatt ned verden over etter at to kritiske sårbarheter i PHP ble avdekket. PHP er programmeringsspråket bak omtrent 70 prosent av alle nettsider. Jason Clinton, visedirektør for informasjonssikkerhet hos Anthropic, advarte om at forstyrrelsene «vil bli mye verre før de blir bedre», ifølge Bloomberg. The Wall Street Journal News Corp ↘ 1.37% meldte torsdag at beredskapsteam er under sterkt press fra det eksperter kaller «Svart oktober», en måned preget av raske trusler som mange i bransjen knytter til fremskritt innen kunstig intelligens.wsj.com+1

Global kamp for å tette hull

Sårbarhetene, CVE-2026-109618 og CVE-2026-109619, er kjent under samlenavnet PHP2Shell. De kan tillate angripere å kjøre kode på en server uten innlogging, og begge har en alvorlighetsgrad på 9,2 av 10. PHP-utviklerne slapp rettede versjoner onsdag 21. oktober. Offentlige etater i Europa og andre steder tok sine egne nettsider ned som et sikkerhetstiltak, og Reuters Thomson Reuters Corporation ↗ 1.63% meldte at sårbarhetene hadde forblitt uoppdaget i årevis helt til KI hjalp med å avdekke dem.theregister.com+1

Offentlige nettsider i Storbritannia, Tyskland, Frankrike, Belgia, Finland, Nederland og Australia var blant dem som ble tatt ned før oppdatering. I Japan ble systemer for barnehager satt ut av drift, og deler av Wikipedia var kortvarig nede, meldte NBC News Comcast Corporation ↗ 4.27%. NSA uttalte at organisasjoner som ikke kan oppdatere umiddelbart, bør koble berørte systemer fra nettet til de er rettet. American Hospital Association videreformidlet rådene fra FBI og NSA til sine medlemmer. Cloudflare ↘ 9.54% registrerte millioner av angrepsforsøk. Oppdateringene dekker kun PHP 8.2 og nyere, noe som etterlater mange eldre nettsider eksponert.kaspersky.com+5

«Hold ut i ca. 18 måneder»

Clinton kom med advarselen i et innlegg på X den 22. oktober. «Så ille som ting har blitt de siste fire dagene, vil det bli mye verre før det blir bedre,» skrev han. Han oppfordret sikkerhetsledere til å be styrene sine om hjelp, «ikke for KI, men for det grunnleggende», og la til: «vi må holde ut i ca. 18 måneder». I august hadde han spådd at en «sårbarhets-tsunami» ville inntreffe før kritisk infrastruktur kunne sikres.indiatoday.in+1

Clinton mener løsningen vil komme fra «vulnzero». Etter hans syn vil billige og kapable KI-modeller etter hvert la utviklere fange opp og fjerne sikkerhetshull før koden tas i bruk. Selve PHP-sårbarhetene ble funnet ved hjelp av KI-verktøy fra OpenAI og Google Alphabet Inc. ↘ 1.45%.yahoo.com+1

Et dilemma om dobbel bruk

Clintons prognose møtte kritikk fra folk som hevder at KI-selskaper gjør cybertrusler verre før forsvarsmekanismene er klare. Da en bruker anklaget KI-laboratorier for å «skape dette monsteret», svarte Clinton: «Vi prøvde å advare verden.»businesstoday.in+1