Kritiska PHP-brister avslöjdes före säkerhetsuppdateringen – attacker upptäckta

Två allvarliga säkerhetsbrister i programmeringsspråket PHP har utsatt webbservrar världen över för risken att tas över av obehöriga. Information om bristerna spreds innan säkerhetsuppdateringarna hade nått användarna. Amazon Threat Intelligence har registrerat flera försök att utnyttja sårbarheterna, men det är ännu inte fastställt om angriparna lyckats ta kontroll över verkliga produktionssystem.

PHP Foundation har identifierat bristerna som CVE-2026-109618 och CVE-2026-109619. Båda har tilldelats allvarlighetsgraden 9,2 på CVSS-skalan. Sårbarheterna kan utnyttjas genom särskilt utformade anrop till oskyddade servrar, utan att angriparen först behöver autentisera sig. Ett lyckat angrepp kan ge tillgång till både servern och den information som lagras där.

Den 21 oktober publicerade PHP:s utvecklingsteam säkerhetsuppdateringarna PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Publiceringen var ursprungligen planerad till den 22 oktober klockan 14.00 UTC, men PHP Foundation beslutade att tidigarelägga den med ett dygn tidigare eftersom detaljer om säkerhetsbristerna börjat spridas.

Arbetet med att åtgärda problemen hade då pågått i ungefär två månader. PHP Foundation hade samordnat förberedelserna med utvalda leverantörer som behövde tid för att anpassa sina egna programvaror. Avsikten var att korrigeringarna skulle kunna distribueras till ett stort antal användare vid samma tillfälle.

Säkerhetsföretaget Wiz Research identifierade den första sårbarheten den 19 augusti 2026. Företaget kunde därefter demonstrera hur bristen möjliggjorde obehörig fjärrkörning av kod i Drupal den 20 augusti och i WordPress den 21 augusti. Wiz Research har även konstaterat att åtminstone en av sårbarheterna förekommer i PHP-versioner så gamla som PHP 5.4.

Google Clouds säkerhetschef Chris Betz och Raluca Ada Popa vid Google DeepMind har beskrivit hur AI-modellen Gemini 4 Argon användes i säkerhetsarbetet. Modellen medverkade till att identifiera sårbarheten, ta fram tester, upptäcka angreppsförsök och kontrollera att säkerhetskorrigeringen fungerade.

Även OpenAI har redovisat ett arbete med att upptäcka säkerhetsbristerna. Den 21 oktober meddelade företaget att säkerhetsföretaget Calif hade identifierat en kritisk PHP-sårbarhet med hjälp av AI-modellen GPT-5.6 Sol inom initiativet Patch the Planet. OpenAI deltog därefter tillsammans med andra organisationer i samordningen inför publiceringen av uppdateringarna.

Trots förberedelserna började uppgifter om sårbarheterna cirkulera innan den planerade publiceringen. Information förekom på internetforum, samtidigt som ett säkerhetsföretag av misstag publicerade en video med tekniska detaljer. En leverantör distribuerade dessutom sin säkerhetskorrigering före den gemensamt planerade tidpunkten.

Redan den 17 oktober registrerade Amazon Threat Intelligence tecken på försök att utnyttja bristerna. Den tidiga aktiviteten kunde knytas till en IP-adress som tillhörde en kommersiell anonymiseringstjänst. Amazon kunde inte fastställa hur angriparen hade fått tillgång till informationen.

Ytterligare attackförsök upptäcktes mellan klockan 02.00 och 08.00 UTC den 21 oktober. Amazon Threat Intelligence konstaterade att trafiken den gången kom från flera olika anonymiserade nätverksmiljöer. Det fanns vid rapporteringstillfället inga fastställda uppgifter om att försöken hade lyckats mot produktionsservrar.

Datasäkerhetsforskaren Alexandre Bartel, professor vid Umeå universitet, anser att hanteringen av informationen brustit. Han framhåller att samordnad publicering är viktig eftersom tekniska uppgifter om en sårbarhet kan ge angripare möjlighet att snabbt utveckla fungerande angreppsmetoder.

Bartel pekar särskilt på att artificiell intelligens har gjort det enklare att skapa kod som utnyttjar kända säkerhetsbrister. Arbete som tidigare kunde kräva flera dagars teknisk analys och programmering kan numera utföras betydligt snabbare med hjälp av AI-system.

Säkerhetsföretaget Wiz bedömer att PHP används på omkring 70 procent av världens webbplatser. Programmeringsspråket ligger bakom flera stora publiceringssystem, däribland WordPress, Joomla och Drupal. Den omfattande användningen gör att säkerhetsbristerna berör ett stort antal organisationer och webbplatser.

PHP utvecklades för drygt 30 år sedan och förkortningen stod ursprungligen för Personal Home Page. Språket skapades för att förenkla utvecklingen av webbplatser med mer avancerade funktioner. Det används tillsammans med HTML, som utgör en grundläggande del av hur webbsidor byggs upp och presenteras.

När informationen om sårbarheterna började spridas valde flera myndigheter och företag i olika delar av världen att tillfälligt stänga sina webbplatser. Åtgärderna genomfördes i väntan på att korrigeringar skulle kunna installeras.

Cloudflare meddelade att företaget aktiverade särskilda skyddsregler mot angreppstypen PHP2Shell klockan 03.02 UTC den 21 oktober. Skyddet gjordes tillgängligt för kunder med såväl kostnadsfria som betalda webbapplikationsbrandväggar. Cloudflare hade också registrerat attacktrafik riktad mot företagets kunder.

Samma dag uppmanade EU:s cybersäkerhetsmyndighet ENISA organisationer att omedelbart prioritera säkerhetsuppdateringar för PHP-system som kan nås via internet. Uppmaningen framfördes tillsammans med Europeiska kommissionen, CERT-EU, Europol och medlemsländernas organisationer för hantering av it-säkerhetsincidenter.

NHS Englands nationella cybersäkerhetscenter registrerade bristerna under varningsnumret CC-4875. Myndigheten påpekade samtidigt att PHP 8.1 och tidigare versioner inte längre får ordinarie säkerhetsuppdateringar från PHP-projektet.

Flera stora programvaruleverantörer har därefter vidtagit åtgärder. Canonical meddelade den 21 oktober att korrigerade PHP-paket hade publicerats för samtliga Ubuntu-versioner som fortfarande omfattas av support. Det gäller även äldre versioner med utökat säkerhetsunderhåll.

Red Hat uppgav samma dag att arbetet med korrigeringar för företagets berörda produkter hade påskyndats. Vissa uppdateringar hade redan publicerats medan andra fortfarande förbereddes.

Cisco meddelade genom säkerhetsbulletinen cisco-sa-php-october26-Jj384Daq att företaget undersökte vilka egna produkter och molntjänster som kunde vara påverkade av sårbarheterna.

Den 22 oktober meddelade Docker att korrigeringarna hade införts i Docker Official Images och Docker Hardened Images. Företaget uppmanade användare som bygger applikationer med PHP-baserade containeravbilder att hämta de uppdaterade versionerna.

Google Cloud har samtidigt klargjort att företagets egen molnplattform inte var sårbar. Däremot kunde kunder med PHP-baserade applikationer i molnmiljön fortfarande använda installationer som saknade korrigeringarna.

Säkerhetsföretaget Tenable har kompletterat säkerhetsskannern Nessus med kontroller för att identifiera berörda PHP-installationer. Funktionerna omfattar bland annat granskning av installerade PHP-paket i Linuxdistributioner.

Alexandre Bartel understryker att installation av säkerhetsuppdateringar inte nödvändigtvis räcker för att avgöra om en server är säker. Organisationer behöver också undersöka om deras system redan har utsatts för intrång innan tillfälligt avstängda tjänster tas i drift igen.

Vissa angrepp kan märkas omedelbart genom exempelvis stulen information, krypterade filer eller en webbplats som slutar fungera. Andra intrång kan vara svårare att upptäcka. Bartel beskriver hur angripare kan installera skadlig kod som ger fortsatt tillgång till en server och senare använda den för angrepp mot ytterligare system.

Han bedömer att angripare redan söker efter sårbara PHP-servrar på internet. Samtidigt kan det enligt Bartel dröja veckor, månader eller till och med år innan samtliga berörda användare har installerat tillgängliga säkerhetsuppdateringar.