Två kritiska sårbarheter i PHP gör det möjligt för angripare att exekvera kod på sårbara servrar utan att först behöva autentisera sig. Exploateringen, som går under namnet PHP2Shell, har nu bekräftats i en verklig attack mot en Apache-server som körde PHP 8.4.26.

Det var Adel Karimi, ansvarig för detektion och incidenthantering på AI-företaget Perplexity, som upptäckte angreppet genom sina så kallade honeypots – system som används för att locka till sig och studera skadlig aktivitet. Säkerhetsforskaren Marcus Hutchins på Expel har också granskat resultaten och bekräftat att de utgör starka belägg för en lyckad exploatering.

Det rör sig om CVE-2026-109618 och CVE-2026-109619. Sårbarheterna kan utnyttjas för fjärrkörning av kod, så kallad remote code execution (RCE), vilket innebär att en angripare kan köra egna kommandon på den utsatta servern med de rättigheter som webbserverprocessen har.

Angreppet gick från sårbarhet till kodkörning

Enligt BleepingComputer visade Karimis analys att angreppet inte bara orsakade en krasch eller misstänkt processaktivitet. Angriparen kunde även läsa ut information från minnet och använda den i den efterföljande exploateringen. Den tekniska dokumentationen visar att en begäran ledde till att ett skalkommando kördes på servern.

Samtidigt finns en viktig begränsning i vad som hittills har bevisats. Angreppet demonstrerades mot en specifik Apache-konfiguration med en enda arbetare, PHP 8.4.26 och modulen mod_php. Resultatet bekräftar att exploatering i verkliga miljöer är möjlig, men fastställer inte hur tillförlitligt samma angrepp fungerar mot andra PHP-versioner, konfigurationer eller applikationer.

Sårbarheterna upptäcktes före säkerhetsuppdateringarna

PHP säkerhetsteam publicerade korrigeringar den 21 oktober, efter att ha uppmanat administratörer att förbereda sig på att installera uppdateringarna. Uppgifter om sårbarheterna och vissa tekniska detaljer hade dessförinnan läckt ut, och säkerhetsföretag hade observerat försök att utnyttja dem.

Amazon Threat Intelligence hade också identifierat riktade försök fyra dagar innan uppdateringarna släpptes. De tidigare försöken beskrevs dock som skanning, kartläggning och användning av exploateringskod som inte fungerade. De nya fynden från Perplexity innebär att det nu finns dokumenterade belägg för lyckad kodkörning.

PHP används i en stor del av internets webbplatser. Enligt uppgifter som BleepingComputer hänvisar till finns mer än 5,1 miljoner PHP-värdar exponerade online, varav omkring 3,8 miljoner har minst en port öppen för angrepp. Det innebär en omfattande potentiell exponeringsyta, även om antalet i sig inte visar hur många system som faktiskt är sårbara för PHP2Shell.

Uppdatering är den viktigaste åtgärden

Administratörer bör prioritera att uppdatera PHP till en korrigerad version och kontrollera vilka installationer och tjänster som påverkas. Enligt PHP säkerhetsteam omfattar de korrigerade versionerna PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Organisationer som använder äldre versioner behöver kontrollera om deras leverantör erbjuder säkerhetskorrigeringar eller om en uppgradering krävs.

PHP utvecklare har även beskrivit tillfälliga begränsningsåtgärder för miljöer där uppdatering inte kan genomföras omedelbart. Sådana åtgärder ersätter dock inte säkerhetsuppdateringarna.

Linda Kante Chefredaktör

Aktuell Säkerhet jobbar för alla som vill göra säkrare affärer och är därför en säker informationskälla för säkerhetsansvariga inom såväl privat som statlig och kommunal sektor. Vi strävar efter förstahandskällor och att vara på plats där det händer. Trovärdighet och opartiskhet är centrala värden för vår nyhetsjournalistik

Sponsrat innehåll från Stratsys
ANNONS

Alla följer upp leverantörerna. Ingen har koll på helheten. 

Sju av tio svenska organisationer har brister i säkerheten i sina leveranskedjor, enligt MSB:s senaste Cybersäkerhetskollen. Trots att [...]