Cloudflare ser miljontals försök att utnyttja PHP2Shell

Cloudflare har spårat en snabb ökning av attacker efter att kritiska sårbarheter i programmeringsspråket PHP blivit offentliga. Vd Matthew Prince uppgav att antalet försök gick från tusentals till miljontals inom loppet av några timmar. Statliga webbplatser i Europa och Asien togs offline som en försiktighetsåtgärd medan administratörer skyndade sig att installera de akuta uppdateringar som släpptes onsdagen den 21 oktober.

"Under de 10 timmarna innan det tillkännagavs offentligt såg vi tusentals försök att utnyttja det över hela @Cloudflare-nätverket. Det hoppade till tiotusentals under de 45 minuterna efter tillkännagivandet, hundratusentals inom 2 timmar, och miljontals nu," skrev Prince på X. Reuters rapporterade att han publicerade inlägget sent på onsdagen. Prince meddelade även att Cloudflare byggt en ny typ av brandvägg för webbapplikationer för att blockera attackerna och aktiverat den kostnadsfritt för alla kunder.reuters.com+2

Sårbarheter och åtgärder

De två sårbarheterna, CVE-2026-109618 och CVE-2026-109619, kallas gemensamt för PHP2Shell. Båda har en allvarlighetsgrad på 9,2 av 10 och tillåter oautentiserad fjärrkörning av kod. Rättelserna finns i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35, enligt SecurityWeek. Sårbarheterna påverkar nästan alla PHP-versioner tillbaka till 5.4. PHP tidigarelade sin release efter att detaljer läckt ut på nätet en dag för tidigt, rapporterade Notebookcheck. NSA har varnat för att angripare kan använda sårbarheterna för att ta kontroll över webbservrar, stjäla data eller röra sig djupare in i nätverk.nsa.gov+2

Vissa attacker inleddes innan informationen blev offentlig. Amazons säkerhetschef CJ Moses uppgav att företagets lockservrar blev måltavlor så tidigt som den 17 oktober, medan sårbarheterna fortfarande var under embargo. Han sade att PHP2Shell "nu utnyttjas brett i det vilda."cybernews.com

Webbplatser släcks ner

Finlands regeringswebbplats stängdes delvis av. Oxford City Council, City of Edinburgh Council och brittiska Office for Budget Responsibility tog sina webbplatser offline, rapporterade The Independent. Storbritanniens National Cyber Security Centre uppmanade organisationer som inte kan uppgradera omedelbart att överväga att stänga ner sina webbplatser. I Japan pausade Mitsubishi UFJ Financial Group vissa internettjänster, och finansdepartementet begränsade innehållet på sin webbplats, enligt Reuters. Premiärminister Sanae Takaichi uppmanade webbplatsägare att kontrollera om de använder PHP.independent.co.uk+1

AI:s roll

Säkerhetsföretaget Calif upptäckte sårbarheterna i augusti under deltagande i ett OpenAI-program som använder AI-modeller för att hitta och åtgärda sårbarheter, rapporterade Cybernews. OpenAI kallade händelsen "en av de mest betydande säkerhetsfrågorna i närtid" och noterade att AI kan hjälpa både angripare och försvarare, rapporterade The Independent.independent.co.uk+1

Ciaran Martin, tidigare chef för NCSC, varnade för att stulen data kan underblåsa framtida bedrägerier. "Allt sådant fusk och bedrägeri och så vidare får en turboeffekt," sade han.