Sikkerhet · 4. november 2026
Kritiske sårbarheter oppdaget i programmeringsspråket PHP
En gruppe kritiske sårbarheter kjent som PHP2Shell har blitt offentliggjort for programmeringsspråket PHP. Sårbarhetene kan under visse forhold tillate uautoriserte tredjeparter å kjøre programmer på en server.
PHP2Shell består av to spesifikke sårbarheter, identifisert som CVE-2026-109618 og CVE-2026-109619. Siden problemene ligger i selve fundamentet av PHP, og ikke i spesifikke nettsteder eller tilleggsprogrammer, er det potensielle omfanget av påvirkningen svært bredt. Utviklerne av PHP har vurdert alvorlighetsgraden til en score på 9,2, som kategoriseres som kritisk i henhold til CVSS v4.0.
Utviklingsteamet for PHP publiserte rettelser den 21. oktober i versjonene 8.5.12, 8.4.27, 8.3.36 og 8.2.35. CISA i USA har oppfordret organisasjoner til å installere rettelsene umiddelbart. I Japan har IPA og JPCERT/CC også utstedt advarsler. CISA la begge sårbarhetene til sin katalog over kjente utnyttede sårbarheter den 26. oktober, noe som indikerer at det finnes pålitelige bevis for forsøk på eller vellykket utnyttelse i virkelige miljøer.
Sårbarhetene er særlig alvorlige fordi angrep kan skje før et nettsteds påloggingsfunksjoner aktiveres. For CVE-2026-109618 er det påvist en angrepsvei i Apache mod_php som når frem før applikasjonskoden starter. For PHP-FPM er fjernkjøring av kode bekreftet via applikasjonskoden. Dette betyr at eksisterende påloggingssystemer ikke nødvendigvis gir sikkerhet. I tillegg er det rapportert at angripere kan lese passord, autentiseringstokener og API-nøkler direkte fra minnet, selv uten å kjøre et program.
Trusseljegere fra Tanium bekreftet i et laboratoriemiljø at kodekjøring var mulig ved bruk av kun HTTP-forespørsler mot en urettet versjon av PHP 8.5.11 med Apache mod_php. Selv om mange offentlig tilgjengelige eksempler på angrepskode ikke fungerer direkte, vurderes det at avanserte angripere kan tilpasse metodene til spesifikke miljøer.
Som et forebyggende tiltak har flere tjenester i Japan blitt midlertidig stanset for sikkerhetskontroller. Dette inkluderte nettsider og applikasjoner for lokalbanker, søkesystemer for offentlige dokumenter i kommuner, samt funksjoner hos vertstjenester og webbyråer. Alle disse tilfellene ble beskrevet som forebyggende tiltak og ikke som følge av faktiske angrep.