PHP släpper akuta säkerhetsuppdateringar för kritiska PHP2Shell-sårbarheter

På onsdagen den 21 oktober publicerade PHPs underhållare oplanerade säkerhetsuppdateringar för två kritiska sårbarheter i språkets kärna. Buggarna kallas gemensamt för PHP2Shell, och de tillåter en angripare utan konto att köra kod på webbservrar. BleepingComputer rapporterade att de åtgärdade versionerna är PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Sårbarheterna spåras som CVE-2026-109618 och CVE-2026-109619, och båda har betyget 9.2 på CVSS v4.0-skalan. The Hacker News uppgav att PHP släppte dem omkring kl. 14:00 UTC, en dag efter att detaljer läckt ut inför en planerad offentliggörande den 22 oktober.bleepingcomputer.com+1

Insatserna är höga eftersom sårbarheterna finns i själva körningsmiljön, inte i enskilda applikationer. Wiz Research, ett av teamen som hittade dem, säger att PHP driver cirka 70 % av världens webbplatser, och att varje PHP-version från det senaste decenniet, ända tillbaka till 5.4, har minst en av buggarna.ncsc.gov.uk

Myndigheter stänger ner webbplatser

Statliga myndigheter i Nederländerna och Finland tog webbplatser offline som en försiktighetsåtgärd, rapporterade Reuters. Cybersäkerhetsmyndigheter i Europa, Australien, Japan och Storbritannien uppmanade PHP-användare att uppdatera omedelbart eller ta sina webbplatser offline. Den nederländska cybersäkerhetsmyndigheten stängde ner sin egen webbplats. Det gjorde även Tweede Kamer, underhuset i det nederländska parlamentet, samt det nationella institutet för folkhälsa och miljö, enligt BBC. Brittiska National Cyber Security Centre rådde att "där omedelbar åtgärd inte är möjlig bör organisationer överväga att ta systemet offline."reuters.com+1

Innan uppdateringarna kom ut sa Cloudflare-CTO Dane Knecht: "Vi ser tidiga attacker växa fram," och kallade företagets brandväggsregler för en "tillfällig lösning". Inga lyckade intrång har bekräftats. Per kl. 11:26 UTC hade watchTowr inte sett något utnyttjande i det vilda.thehackernews.com+1

Äldre versioner förblir exponerade

Sårbarheterna påverkar PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed. PHP-teamet säger att mod_php innebär störst risk, eftersom ett demonstrerat utnyttjande kan utlösas av en oautentiserad förfrågan "innan någon applikationskod körs". Version 8.1 och äldre stöds inte längre och får inga officiella utgåvor. Med tanke på hur allvarliga buggarna är publicerade PHP-teamet dock minimala källkods-backporter för 7.4, 8.0 och 8.1. Angripare kan också läsa arbetsminne, vilket kan innehålla lösenord, API-nycklar och certifikat. Att uppdatera en applikation som WordPress uppdaterar inte PHP-körningsmiljön under den.bleepingcomputer.com+1

AI-assisterad upptäckt

Sårbarheterna hittades av Wiz, Calif och OpenAIs Codex Security-team. Enligt The Hacker News hade den underliggande koden funnits i PHP i mer än ett decennium. Wiz jämförde PHP2Shell med Heartbleed och Log4Shell. De uppgav att avancerade AI-modeller "avsevärt minskade" tröskeln för att förvandla en långvarig sårbarhet till ett fungerande utnyttjande. Före utgivningen varnade PHP-kärnutvecklaren Gina Peter Banyard för att "den enda begränsningen är att patcha/uppgradera PHP."thehackernews.com+1