Miljontals cyberattacker efter upptäckten av kritiska PHP-sårbarheter

Två kritiska säkerhetsbrister i programmeringsspråket PHP har utlöst omfattande cyberangrepp och förebyggande nedstängningar av webbplatser världen över. Säkerhetsföretaget Cloudflare har registrerat miljontals försök att utnyttja sårbarheterna sedan de offentliggjordes onsdagen den 21 oktober. Myndigheter och cybersäkerhetsorganisationer i flera länder har uppmanat berörda verksamheter att omedelbart vidta skyddsåtgärder.

PHP används på en majoritet av världens webbplatser. PHP:s säkerhetsteam har identifierat de aktuella bristerna som CVE-2026-109618 och CVE-2026-109619. Båda har tilldelats allvarlighetsgraden 9,2 av 10 enligt bedömningssystemet CVSS 4.0. EU:s cybersäkerhetsmyndighet ENISA har konstaterat att angripare kan utnyttja bristerna för att köra skadlig kod på utsatta servrar utan föregående autentisering.

Cloudflares vd Matthew Prince redovisade på sociala medier hur angreppsförsöken ökade i samband med offentliggörandet. Under de föregående tio timmarna hade företaget registrerat tusentals försök att utnyttja säkerhetsbristerna. Under de första 45 minuterna efter publiceringen ökade antalet till tiotusentals och inom två timmar hade hundratusentals försök noterats. Därefter steg omfattningen till miljontals registrerade angreppsförsök.

Cloudflare hade redan omkring nio timmar före offentliggörandet infört särskilda skyddsregler i sin webbapplikationsbrandvägg. Företaget utvecklade reglerna tillsammans med andra säkerhetsaktörer. Cloudflare har identifierat obehörig kodkörning, exponering av information och överbelastningsangrepp som möjliga följder av sårbarheterna. Angreppen kan genomföras när utsatta applikationer behandlar särskilt utformad HTTP-trafik.

PHP:s utvecklingsteam publicerade den 21 oktober säkerhetsuppdateringarna PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Uppdateringarna åtgärdar de två identifierade säkerhetsbristerna. Europeiska kommissionen, ENISA, CERT-EU, Europols europeiska cyberbrottscentrum EC3 och nätverket av nationella incidenthanteringsorganisationer meddelade gemensamt att uppdateringarna offentliggjordes klockan 13.40 UTC.

Organisationerna publicerade samtidigt en gemensam uppmaning om omedelbara säkerhetsåtgärder. Nederländernas nationella cybersäkerhetscentrum NCSC konstaterade den 21 oktober att offentlig demonstrationskod för att utnyttja bristerna redan fanns tillgänglig. Myndigheten bedömde att samtliga PHP-versioner från version 5 omfattades av riskbilden.

Flera offentliga verksamheter stängde under onsdagen tillfälligt sina digitala tjänster som en försiktighetsåtgärd. Nederländernas regering bekräftade att myndighetstjänsterna Overheid.nl, MijnOverheid.nl och DigiD omfattades av nedstängningarna. Även webbplatsen för landets cybersäkerhetsmyndighet blev otillgänglig. Regeringen framhöll samtidigt att stora delar av dess övriga webbplatser inte använde PHP och därför inte påverkades av de aktuella bristerna.

Wikipedia meddelade också att organisationen hade stängt ner flera system. I Sverige var webbplatserna för Lunds universitet och Karlstads universitet otillgängliga under onsdagen. Säkerhetspolisen och Försvarets radioanstalt hade informerats om den internationella it-krisen.

Ministern för civilt försvar Carl-Oskar Bohlin, Moderaterna, beskrev under onsdagen uppgifterna som allvarliga. Han meddelade att Nationellt cybersäkerhetscenter hade skickat ut ett blixtmeddelande med rekommenderade åtgärder. Bohlin framhöll att offentliggjorda säkerhetsuppdateringar gör det enklare för angripare att identifiera och angripa system som ännu inte har uppdaterats. Han uppmanade därför berörda organisationer att agera omedelbart.

Storbritanniens nationella cybersäkerhetscentrum NCSC har rekommenderat organisationer att kartlägga samtliga PHP-installationer och prioritera system som är tillgängliga från internet. Myndigheten har även betonat behovet av övervakning för att upptäcka misstänkt aktivitet. PHP kan dessutom ingå i andra programvaruprodukter, vilket innebär att separata säkerhetsuppdateringar från respektive leverantör kan behövas.

USA:s säkerhetsmyndighet NSA varnade den 21 oktober för att säkerhetsbristerna kan ge angripare direkt tillgång till serverns filsystem eller databaser. Myndigheten rekommenderade att system som inte omedelbart kan uppdateras tas offline tills tillräckligt skydd kan införas. Litauens nationella cybersäkerhetscentrum NKSC har samtidigt rekommenderat kontroll av ovanliga processer, oväntade systemkommandon och anslutningar till okända IP-adresser för att identifiera möjliga intrång.

Norges nationella säkerhetsmyndighet NSM har meddelat att PHP-versionerna 5, 6, 7 och 8 omfattas av säkerhetsbristerna. Myndigheten har särskilt uppmärksammat att äldre versioner utan fortsatt stöd behöver ersättas eftersom de inte längre får säkerhetsuppdateringar. PHP:s utvecklingsteam har även påmint om att säkerhetsstödet för PHP 8.2 upphör den 31 december 2026 och uppmanat användare att planera en övergång till en version som fortfarande underhålls.

Singapores cybersäkerhetsmyndighet CSA har varnat för att PHP kan finnas installerat genom externa programkomponenter även hos verksamheter vars huvudsakliga webbplats inte använder programmeringsspråket direkt. Google Cloud har på motsvarande sätt meddelat att företagets egen molninfrastruktur inte var sårbar, men att kunder som använder PHP-baserade applikationer i molntjänsten fortfarande kan vara utsatta.

Undersökningen av sårbarheterna inleddes redan under augusti. Säkerhetsföretaget Wiz har redovisat att dess forskare upptäckte den första bristen den 19 augusti 2026. Dagen därpå verifierades möjligheten till obehörig kodkörning mot Drupal, och den 21 augusti genomfördes motsvarande verifiering mot WordPress. Resultaten rapporterades till PHP:s säkerhetsteam den 24 augusti.

Forskarna Sagi Tzadik, Shir Tamari, Nir Ohfeld och Tomer Schwartz deltog i Wiz undersökning. Säkerhetsbristerna har inom företaget fått den interna benämningen PHP2Shell.

Även artificiell intelligens användes i arbetet med att identifiera säkerhetsbristerna. OpenAI, företaget bakom ChatGPT, har meddelat att cybersäkerhetsföretaget Calif upptäckte en kritisk PHP-sårbarhet med hjälp av AI-modellen GPT-5.6 Sol inom projektet Patch the Planet. Wiz identifierade och rapporterade oberoende av detta båda säkerhetsbristerna.

OpenAI har framhållit att upptäckterna gjordes innan angripare hade identifierat bristerna, såvitt företaget känner till. Företaget anser att det gav systemförvaltare och säkerhetsleverantörer möjlighet att förbereda uppdateringar och skydd inför offentliggörandet. OpenAI bedömer också att motsvarande säkerhetsfynd med hjälp av AI kommer att bli betydligt vanligare under de kommande månaderna.

Samordningen mellan PHP:s utvecklare, säkerhetsforskare och teknikföretag hade enligt OpenAI pågått under två månader före offentliggörandet. Företaget har även publicerat ett verktyg som kan användas för att identifiera potentiellt sårbara PHP-versioner.

Google Cloud och Google DeepMind har också redovisat hur AI användes under säkerhetsarbetet. Google Clouds säkerhetschef Chris Betz och Google DeepMinds säkerhetsansvariga Raluca Ada Popa meddelade att modellen Gemini 4 Argon hade bidragit till identifieringen av bristerna, utvecklingen av testangrepp, upptäckten av angreppsförsök och kontrollen av säkerhetsuppdateringarna.

De internationella säkerhetsmyndigheternas rekommendationer omfattar både installation av tillgängliga uppdateringar och kontroll av system där PHP ingår som en del av andra programvaror. För system som inte omedelbart kan uppdateras har flera myndigheter rekommenderat särskilda skyddsåtgärder eller tillfällig nedstängning.