Två PHP-sårbarheter utsatte webbservrar för risk

Två sårbarheter i PHP, ett vanligt programmeringsspråk för webbplatser och webbappar, ledde till en samordnad insats för att åtgärda system som var åtkomliga från internet. Enligt forskare kunde bristerna låta angripare ta kontroll över oskyddade servrar som var åtkomliga från internet, utan lösenord.

Bristerna, som kallas PHP2Shell och har beteckningarna CVE-2026-109618 och CVE-2026-109619, upptäcktes 2024 men bedömdes då inte kunna utnyttjas och åtgärdades därför inte. Forskare på Calif hittade senare ett sätt att utnyttja dem och kontaktade PHP Foundation, som underhåller programvaran. Stiftelsen delade korrigeringar konfidentiellt med stora företag och webbhotell innan de släpptes offentligt på onsdagen.

Bristerna gör det möjligt att köra kod på distans utan att någon behöver klicka på en länk eller öppna en fil. En angripare kan använda åtkomsten för att installera skadlig programvara, stjäla data eller behålla fotfästet i ett drabbat system. Enligt källrapporten bygger omkring 70 % av den webbsynliga delen av internet på PHP.

Den samordnade informationen bidrog hittills till att förhindra omfattande utnyttjande, men forskare varnade för att många system fortfarande var oskyddade och sårbara. Rapporten säger att vissa organisationer tog webbplatser och tjänster offline medan de installerade korrigeringarna, och att myndigheter började uppmana webbplatsansvariga att hantera riskerna. OpenAI och Wizs initiativ Hack the Planet deltog i forskningen; Wiz verifierade Califs proof-of-concept-exploiter. Calif uppgav att AI användes som hjälp, medan arbetet till stor del byggde på forskarnas befintliga kunskap om PHP:s kod och exploateringshistorik. Amazon uppgav att företaget upptäckte PHP2Shell-utnyttjande innan korrigeringarna släpptes.