Programmeringsspråket PHP finns under huven på en majoritet av världens webbservrar. Uppgifter om dess två luckor började spridas redan i tisdags och fick extra fart när ett säkerhetsföretag av misstag la ut en video på hur de kan utnyttjas.
Dagen efter slog it-säkerhetsmyndigheter över hela världen på stora trumman och på onsdagseftermiddagen släppte PHP en officiell uppdatering. Den täpper igen de två hålen – men innehåller samtidigt detaljerad information om hur hackarna kan gå till väga.
Det ledde till en kapplöning där antalet intrångsförsök exploderade på bara några timmar samtidigt som ansvariga försökte hinna före med att installera uppdateringen eller tog ner sajter i förebyggande syfte.
Slog till redan i lördags
Nu framkommer helt nya uppgifter som förändrar tidslinjen för incidenten.
Molnjätten Amazon Web Services meddelar att dess säkerhetsteam har hittat ett intrångsförsök som loggades redan den 17 oktober. Det riktades mot en så kallad honey pot, en kontrollerad testserver som ska verka sårbar och används som lockbete för hackare.
Enligt AWS kom angreppet från anonyma IP-adresser via VPN och kan sannolikt kopplas till ”illasinnade aktörer”. Hur hackarna kände till PHP-luckorna är oklart, enligt Amazons it-säkerhetschef CJ Moses.
”Teknisk analys pågår och det är oklart om något av dessa försök hade lyckats mot verkliga system”, skriver han.
Erkänner misslyckande
I efterspelet på onsdagen erkände också PHP Foundation att de har känt till ett underliggande säkerhetsproblem kopplat till en av luckorna ända sedan 2024. Fynden var inte så detaljerade att PHP visste vad som skulle komma två år senare, men utvecklarna kunde heller inte enas om en lösning.
De körde fast gång på gång eftersom en fix skulle kunna skapa nya säkerhetsproblem, kräva stora förändringar hos externa partners och göra att äldre program inte fungerar med PHP.
”Vi tänker inte låtsas som något annat: Förseningen var ett strukturellt misslyckande som berodde både på säkerhetsteamets beslutsprocess och på bristande resurser”, skriver företaget.