Forskare från Wiz, OpenAI och Calif har avslöjat PHP2Shell, två sårbarheter som låter angripare köra egen kod på webbservrar utan att logga in. Felen har legat i PHP i decennier och påverkar alla versioner från 5.4 och framåt. Att faktiskt utnyttja dem krävde dock en så komplex kedja av steg att det var på gränsen till vad mänskliga forskare klarar. Det var AI-modeller som sänkte tröskeln och förvandlade gamla buggar till ett fungerande angrepp, förklarar Wiz som rankar dem bland de allvarligaste hål som någonsin hittats i PHP.
Planen var en samordnad publicering men detaljerna läckte på Hacker News 20 oktober, innan någon fix fanns. Wikimedia stängde av sitt utvecklarverktyg Phabricator som försiktighetsåtgärd i väntan på uppdateringen. Angriparna verkar dessutom ha legat steget före. Amazon fångade ett attackförsök i sina honeypots redan 17 oktober och säkerhetsföretaget Watchtowr har sedan dess sett attacker i sina egna fällor. Ett färdigt attackverktyg finns publikt.
PHP-teamet tidigarelade sina säkerhetsuppdateringar och släppte 21 oktober PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Linuxdistributioner som Almalinux rullar ut lagade paket även för äldre versioner. Sajter bakom Cloudflares brandvägg har skyddats automatiskt sedan samma natt. Eftersom felen sitter i själva PHP spelar det ingen roll hur välskriven sajten ovanpå är, så allt från webbutiker till forum måste uppdateras.
Som vanlig användare kan du inte laga något själv. Men hålen kan också användas för att läsa ut minnet på servern, vilket kan exponera lösenord och inloggningsnycklar. Se därför till att du har unika lösenord och tvåfaktorsinloggning där det går. Kör du en egen webbserver eller Nextcloud hemma är det du som ska uppdatera. Gärna i dag.
Driver du någon egen tjänst med PHP och har du hunnit uppdatera?