Angrep i gang: PHP-sårbarheter lammer globalt
To sårbarheter i PHP gjør at versjoner bør tas av internett fram til ny patch er klar onsdag ettermiddag. Angrepene er allerede i gang.
Publisert
Folka bak kodespråket PHP har funnet to kritiske sårbarheter som onsdag får konsekvenser verden rundt.
– Begge sårbarhetene lar en ikke-autentisert aktør kjøre vilkårlig kode over internett, melder Nasjonal sikkerhetsmyndighet (NSM).
PHP har varslet at de onsdag klokken 16 norsk tid skal komme med en patch.
– Vi oppfordrer alle PHP-brukere til å forberede seg nå så de kan oppgradere så snart utgivelsen er tilgjengelig, skriver PHP.net.
Ber ta versjon fysisk av nett
Sårbarhetene har fått CVE-numrene CVE-2026-109618 og CVE-2026-109619.
Det er versjonene 5, 6, 7 og 8 som regnes som sårbare, ifølge NSM.
Men eldre versjoner enn 8.2 får ikke nye sikkerhetsoppdateringer.
– PHP-versjoner fra 8.1 og nyere anbefales å fysisk tas av nett (airgap) og oppgradere så fort som mulig, melder NSM.
Webhotell-leverandøren GoDaddy har uttalt at feilene kan gjøre det mulig for angripere å kjøre kode på berørte servere over internett. Det kan føre til datatyveri, endring av nettsiders innhold (defacement) eller full overtakelse av systemet, melder Reuters.
Tar ned tjenester
Også EUs sikkerhetseksperter (CERT-EU) har bedt organisasjoner om å ta ned berørte nettsider, ifølge Reuters.
Sårbarheten kan nemlig gjøre det mulig for angripere å kjøre skadelig kode på sårbare systemer uten å logge inn.
Oppfordringen har ført til at blant andre WoodWing har midlertidig tatt ned sine Studio-servere, noe som kan få konsekvenser for blant annet trykte publikasjoner i hele verden.
Også offentlige etater skal være tatt ned i blant annet Finnland. kode24 kan ikke se at noe liknende har skjedd i Norge ennå.
‼️ PHP UPDATE: The Dutch parliament, the Dutch national cyber agency and Finland's central government have pulled websites offline ahead of the PHP patch. Finland's state IT centre Valtori is shutting down public-facing central government web services. The National Land Survey of Finland is already down. In the Netherlands, the Tweede Kamer, the NCSC and the Dutch Data Protection Authority are offline. So are tech site Tweakers and NotuBiz, which runs council information for 100+ local governments. The University of Vienna switched off its websites, webmail and Moodle. The University of Freiburg and Finland's Haaga-Helia have taken services down too. Fur Affinity, Pinboard, explain xkcd and every wiki on Miraheze are dark as well. Valtori says its shutdown is a precaution, not the result of an attack or breach. PHP was created by Rasmus Lerdorf in 1994, it initially stood for Personal Home Page PHP's fix is due at 14:00 UTC today.
— International Cyber Digest (@IntCyberDigest) October 21, 2026
PHP er overalt, skriver cybersikkerhetsselskapet Huntress i et blogginnlegg.
– Det driver i det stille WordPress-, Drupal-, Joomla- og Magento-nettsteder, delte hostingplattformer, kontrollpaneler og svært mye programvare som ikke engang sier høyt at den bruker PHP under panseret, skriver Huntress.
Angrep på gang
Cloudflare jobber med å oppdatere sine brannmurregler for å stanse angrepene som allerede er på gang på grunn av at sårbarhetene lekket på nett før patchen var på vei.
PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free. We are seeing early attacks emerging and are updating mitigations as new vectors show up. This is a STOPGAP only. Patch as soon as @ThePHPF releases the update at 14:00 UTC today.
— Dane Knecht 🦭 (@dok2001) October 21, 2026
– Vi ser at de første angrepene dukker opp, og vi oppdaterer beskyttelsene etter hvert som nye angrepsmetoder kommer. Dette er KUN en midlertidig nødløsning. Patch så snart PHP slipper oppdateringen, skriver teknologidirektør Dane Knecht i Cloudflare på X.
Ifølge flere kilder på blant annet X skal det være instruksjoner ute om hvordan PHP-sårbarheten kan utnyttes, før den er tettet:
‼️ PHP UPDATE: A public exploit for the leaked PHP flaws is now online, complete with downloadable code, hours before the patch. Its author, who posts as J4ck3LSyN, says it was recreated and "lab/field tested", and labels one of the two bugs "weaponized (lab)". The PoC was recently updated, admitting the attack chain it first described does not work. A separate exploit credited to security firm Calif was shown running commands on a WordPress test site in a video that was briefly posted. PHP's fix is due at 14:00 UTC today.
— International Cyber Digest (@IntCyberDigest) October 21, 2026
Foretrekk oss i Google Discover
Ved å legge oss til som foretrukket kilde i Google vil du blant annet få opp flere av sakene våre i Google Discover. Tusen takk for støtten!
