Under onsdagen rullades akutfixar ut som täpper till CVE-2026-109618 och CVE-2026-109619, två kritiska sårbarheter i php som fått samlingsnamnet php2shell.
Enligt nyhetsbyrån Reuters har hackare redan gjort miljoner försök att utnyttja sårbarheterna på sajter som inte uppdaterats, vilket bland annat har fått myndigheter och företag i Japan, Kina och Sydkorea att temporärt stänga ner sina webbsidor.
”Under de 10 timmarna innan det offentliggjordes såg vi tusentals försök att utnyttja sårbarheten i Cloudflare-nätverket. Antalet ökade till tiotusentals under de 45 minuterna efter offentliggörandet, till hundratusentals inom två timmar och till miljoner nu”, skriver Cloudflares vd Matthew Prince i ett inlägg på X.
Det rapporteras dessutom om att de första attackerna ska ha inletts redan den 17 oktober, vilket uppmärksammas av Wired.
CERT-SE uppmanar organisationer att identifiera PHP-baserade applikationer, skyndsamt följa leverantörens rekommendationer samt att undersöka sina system efter tecken på intrång.
PHP Foundation har lagt ut ett blogginlägg om hur luckorna upptäcktes. Där framgår att de hittades i augusti, men att den bakomliggande sårbarheten varit känd sedan 2024.