PHP varnar för tredje sårbarhet mitt i globalt patchningskaos

Regeringar, molnleverantörer och webbplatsoperatörer världen över har denna vecka skyndat sig att patcha två kritiska sårbarheter i PHP, programmeringsspråket som driver stora delar av webben, efter att AI-stödda forskare upptäckt dem. PHP Foundation släppte akuta fixar onsdagen den 21 oktober och uppgav att "alla PHP-användare uppmanas starkt att uppdatera omedelbart," medan OpenAI meddelade att deras GPT-5.6 Sol-modell hjälpte till att hitta buggarna.bbc.com

Sårbarheterna, som spåras som CVE-2026-109618 och CVE-2026-109619 och gemensamt kallas "PHP2Shell," kan låta angripare köra kod på en server utan att logga in. Båda är klassade till 9.2 på CVSS-skalan. Fixar skickades i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Sårbarheterna sträcker sig tillbaka till nästan varje utgåva sedan version 5.4, och PHP 8.1 och äldre får ingen officiell fix. Wiz uppskattar att PHP driver cirka 70 % av webbplatserna, och W3Techs anger siffran till 75 %.cbc.ca+2

Webbplatser släcks ner när attackerna ökar

USA:s National Security Agency (NSA) meddelade organisationer som inte kan patcha omedelbart att de bör koppla bort sina system från nätet. Storbritanniens National Cyber Security Centre gav liknande råd, och Japans premiärminister Sanae Takaichi uppmanade webbplatsägare att "vidta åtgärder ikväll," rapporterade BBC. Wikimedia, den finska regeringen och nederländska cybermyndigheter kopplade ner system, liksom flera kanadensiska provinsregeringar.bbc.com+1

Cloudflare ↘ 1.22% VD Matthew Prince sa att utnyttjandeförsök mot deras nätverk gick från tusentals före tillkännagivandet till "miljoner nu." Amazon Amazon.com, Inc. ↗ 1.61% sa att de blev måltavla dagar före avslöjandet men att deras webbplatser fortsatte att fungera normalt. Avslöjandet var planerat till den 22 oktober, men detaljer läckte ut på nätet den 20 oktober, så patcharna kom en dag tidigare. På fredagen den 23 oktober varnade PHP för en tredje sårbarhet med lägre risk, CVE-2026-115560, som kommer att fixas i en ordinarie utgåva.securityweek.com+2

AI:s roll i upptäckten

OpenAI sa att säkerhetsföretaget Calif hittade en sårbarhet med hjälp av GPT-5.6 Sol genom sitt "Patch the Planet"-program. Wiz hittade och rapporterade båda sårbarheterna på egen hand. Wiz använde flera AI-verktyg, inklusive sin Atlas-agent, Gemini 4 Argon och GPT-5.6 Sol, enligt TechCrunch. OpenAI-presidenten Greg Brockman sa att buggen funnits i PHP i 14 år, och att en begränsad version som hittades 2024 inte behandlades som allvarlig. OpenAI kallade det "en av de mest effektfulla sårbarheterna i mannaminne." Företaget släppte också en PHP-versionskontroll och lovade 1 miljard dollar i subventionerad tillgång till sitt Daybreak-program för försvarare.openai.com+4

Strukturella frågor

PHP Foundation kallade fördröjningen i att fixa 2024-problemet för ett "strukturellt misslyckande" orsakat av begränsade resurser. De berättade för CBC att de inte sett några bevis på framgångsrika utnyttjanden. Indiens CERT sa dock att flera rapporter pekar på storskaligt utnyttjande i det vilda.csk.gov.in+1

"De underliggande buggarna var inte nya; det som förändrades var vår förmåga att hitta dem," sa UNSW Sydney-forskaren Salil Kanhere till BBC.bbc.com