Media.nu – Det här är Media.nu
Attackerna mot PHP började flera dagar innan sårbarheterna var allmänt kända, enligt Amazon. Samtidigt visar det sig att vanliga prylar du har hemma också kan vara i riskzonen – ofta utan att ägaren vet att PHP körs där.
Amazon Threat Intelligence säger att bolaget upptäckte ett försök att utnyttja sårbarheterna i PHP redan den 17 oktober, skriver The Register. Patcharna kom först igår den 21 oktober – fyra dagar senare. Försöket fångades av ”MadPot”, Amazons nätverk av så kallade honeypots. En honeypot är en lockbetesserver som byggts för att dra till sig angripare och registrera vad de gör.
Aktiviteten kom från en anonymiserad IP-adress medan sårbarheterna fortfarande låg under embargo, det vill säga hölls hemliga i väntan på en uppdatering. Amazon bedömer att en hotaktör låg bakom. Hur aktören fick tag i informationen i förväg är oklart.
Den 21 oktober registrerade Amazon flera ”proof-of-concept-exploits”, kod som visar att en sårbarhet går att utnyttja. Den tidigaste kom ungefär tolv timmar före patcharna. Under de följande sex timmarna kom än fler försök från anonymiserade angripare. Amazon tolkar det som att det rörde sig om flera olika aktörer. Om försöken hade fungerat mot verkliga system är oklart.
Amazon rekommenderar att man granskar misstänkt aktivitet bakåt till åtminstone den 17 oktober, och inte utgår från att systemen var säkra fram till dess att sårbarheterna blev allmänt kända.
Miljontals försök
Cloudflares vd Matthew Prince uppger att bolaget såg tusentals exploateringsförsök under de tio timmarna före det offentliga beskedet. Inom 45 minuter efter beskedet var antalet tiotusentals, inom två timmar hundratusentals, och sedan har det stigit till miljoner.
Angriparna återanvänder inte bara samma kod. Cloudflare har sett dem ändra sina nyttolaster för att ta sig förbi bolagets WAF, en webbapplikationsbrandvägg som filtrerar bort misstänkta förfrågningar. Enligt Cloudflare använder de uppenbarligen svaren på blockerade förfrågningar för att pröva sig fram.
Bilden av ett rörigt offentliggörande av sårbarheterna kompliceras av en tvist. PHP Foundation anklagar säkerhetsbolaget Chainguard för att ha publicerat patchade PHP-versioner före den överenskomna tidpunkten. Amazons upptäckt den 17 oktober tyder enligt The Register på att åtminstone en angripare var igång dagar före den händelsen.
Varför buggarna är så allvarliga
De två sårbarheterna, CVE-2026-109618 och CVE-2026-109619, har båda graderats 9,2 på CVSS-skalan, som går till 10. CVE är ett löpnummer för kända sårbarheter. Båda är så kallade ”remote code execution”-sårbarheter, vilket innebär att en angripare på distans kan köra egen kod på en server. De sitter båda i själva PHP-kärnan och inte i något enskilt tillägg eller webbplattform. Sårbarheterna finns i alla PHP-versioner från de senaste cirka 20 åren.
Tröskeln för angrepp är låg. Enligt Heise Security visade säkerhetsfirman Calif, som upptäckte svagheterna, att tiotusentals anrop på 38 sekunder räckte för att köra kod på en server, utan inloggning. Ai-modeller har gjort det betydligt enklare att förvandla en sådan obskyr bugg till en användbar sårbarhet. Calif hittade felen med hjälp av en ai-modell från OpenAI.
Prylar i hemmet kan vara drabbade
PHP finns bakom ungefär 70 procent av alla webbplatser med känd konfiguration, men också i routrar, lagringssystem och säkerhetsprodukter – ofta utan att de som använder dem vet om det. Så beskriver Eco, en europeisk organisation för internetbranschen, situationen, skriver T-online.
Det gäller hemmet också, om än betydligt mer sällan: nätverksdiskar (NAS), minidatorer och routrar kan vara drabbade, antingen för att de kör en hemmaserver med PHP eller för att deras administrationssidor bygger på PHP.
Den som själv har installerat PHP-paket på en enhet kan uppdatera dem. Alla andra är beroende av tillverkarnas firmware-uppdateringar. Eco säger att parollen nu är att installera patchar överallt, och rekommenderar automatiska uppdateringar på alla enheter där det går.
