PHP Foundation medger strukturell brist bak fördröjd säkerhetsfix

PHP Foundation medgav på onsdagen den 21 oktober att fördröjningen i att åtgärda en av två kritiska sårbarheter i programmeringsspråket PHP var en strukturell brist. Erkännandet kom efter att nödpatchar släppts och regeringar världen över stängt ner webbplatser som en försiktighetsåtgärd, rapporterar Reuters via The Standard. Enligt stiftelsen upptäckte en forskare de första tecknen på en sårbarhet under 2024, men eftersom ingen konkret attackmetod hittades vid tillfället prioriterades andra problem med tydligare påverkan.thestandard.com.hk

En fix som stannade av i månader

I ett blogginlägg som citeras av LWN skriver stiftelsen att säkerhetsteamet hade flera konkurrerande förslag på lösningar. Varje alternativ hade en kostnad: ett bröt bakåtkompatibiliteten, ett skapade en ny risk för överbelastningsattacker, och ett krävde ändringar i många tredjepartstillägg. Teamet fattade beslut genom konsensus och fruktade konsekvenserna av att välja fel väg. Eftersom ingen väg till fjärrkodexekvering var känd, och de få kärnutvecklare som känner motorn väl hade många andra uppgifter, stannade arbetet av och startade om upprepade gånger under flera månader. Vi ska inte låtsas som något annat: fördröjningen var en strukturell brist, orsakad av både säkerhetsteamets beslutsprocess och dess brist på resurser, uppger stiftelsen.lwn.net

Frågan blev akut igen den 11 augusti. Den dagen rapporterade säkerhetsföretaget Calif och OpenAI oberoende av varandra om samma grundorsak, och Calif visade att de kunde köra kod på distans utan begränsningar, rapporterar Cointelegraph. Stiftelsen uppger att de sedan dess har flyttat säkerhetsbeslut från konsensus till majoritetsbeslut och anställt två ytterligare ingenjörer. De uppmanade också företag och myndigheter som förlitar sig på PHP att bidra till säkerhetsarbetet, rapporterar The Next Web. Utgivningen tidigarelades med en dag efter att sårbarhetsidentifierarna läckt ut på nätet, och stiftelsen kritiserade Chainguard för att ha publicerat patchade bilder före den koordinerade utgivningen.tradingview.com+1

Webbplatser släcks ner

Sårbarheterna, med smeknamnet PHP2Shell, spåras som CVE-2026-109618 och CVE-2026-109619. De är åtgärdade i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35, och varje PHP-installation som hanterar webbanrop är potentiellt påverkad, rapporterar The Register. Cybersäkerhetsmyndigheter i USA, Storbritannien, Kanada, Australien och EU uppmanade webbplatsoperatörer att stänga ner sina sidor tills de kunde uppdatera, rapporterar Cybersecurity Dive. Säkerhetsjournalisten Brian Krebs uppskattade att nästan 70 procent av alla webbplatser behöver uppdateringen.theregister.com+2

Nederländerna stängde av sin digitala identitetstjänst. Finlands statliga IT-leverantör Valtori kopplade bort offentliga webbtjänster, och Frankrike stängde tillfälligt ner prefekturernas webbplatser, rapporterar Cointelegraph. Wikimedia Foundation stängde också ner vissa stödtjänster. Coinbase ↘ 4.51% uppgav att de inte hittade några exponerade PHP-instanser.tradingview.com

Den amerikanska cybersäkerhetsmyndigheten CISA uppgav att de inte hade observerat något utnyttjande av dessa sårbarheter när de publicerade sin rekommendation. De varnade dock för att de utgör en risk för organisationer om de lämnas opatchade, enligt Reuters.thestandard.com.hk