Amazon Threat Intelligence opdagede forsøg på at udnytte PHP2Shell den 17. oktober, fire dage før udviklerne udsendte sikkerhedsopdateringer. Forskerne har dog ikke kunnet fastslå, om disse tidlige forsøg faktisk kunne kompromittere systemer i virkelige miljøer.
De to kritiske sårbarheder, CVE-2026-109618 og CVE-2026-109619, kan muliggøre fjernudførelse af kode på sårbare PHP-installationer. PHP’s sikkerhedsteam udsendte rettelser den 21. oktober efter at have opfordret administratorer til at forberede sig på presserende opdateringer.
Amazon opdagede angreb før offentliggørelsen
Amazon registrerede de tidligste angrebsforsøg gennem sin MadPot-honeypot-infrastruktur, mens oplysningerne om sårbarhederne stadig var underlagt embargo.
Ifølge virksomheden stammede aktiviteten fra en IP-adresse, der var knyttet til et kommercielt anonymiseringsnetværk. Denne kombination tydede på, at en trusselsaktør stod bag, selv om efterforskerne ikke ved, hvordan aktøren fik adgang til oplysninger om sårbarhederne.
Efterfølgende observerede Amazon, at angribere anvendte flere proof-of-concept-udnyttelser fra VPN-adresser inden for få timer efter offentliggørelsen. Forskelle i angrebskoden og anonymiseringstjenesterne tydede på, at flere aktører var involveret.
Amazon understregede dog, at den tekniske analyse stadig var i gang. Virksomheden kunne ikke bekræfte, om disse forsøg ville have fungeret mod systemer i virkelige miljøer.
Forskere vurderer beviserne for vellykkede angreb forskelligt
Amazon beskrev sårbarhederne som udsat for omfattende udnyttelse i virkelige miljøer. Virksomhedens resultater efterlader dog usikkerhed om, hvor mange angreb, hvis nogen, der faktisk lykkedes med at kompromittere servere.
Samtidig fremlagde Dataminrs team for trusselsforskning og cybersikkerhedsteknik en mere forsigtig vurdering den 22. oktober. Forskerne rapporterede scanning, identificering af systemer og udnyttelsesforsøg, der ikke fungerede, uden nogen kendte kompromitteringer.
Flere andre sikkerhedsvirksomheder opdagede også mislykkede forsøg før offentliggørelsen.
Disse resultater skelner mellem angrebsforsøg og bekræftede indbrud. Selvom forsøgene på at udnytte PHP2Shell begyndte, før sikkerhedsopdateringerne blev udsendt, dokumenterer de tilgængelige rapporter ikke nogen vellykkede tidlige kompromitteringer.
Lækkede oplysninger forstyrrede tidsplanen for sikkerhedsopdateringerne
PHP’s sikkerhedsteam oplyste, at lækkede oplysninger tvang dem til at fremskynde den koordinerede offentliggørelsesproces.
Detaljer dukkede op på nettet to dage før offentliggørelsen, herunder begge CVE-identifikatorer og vejledning om risikobegrænsende foranstaltninger, som var blevet delt med visse leverandører af kritisk infrastruktur. Som følge heraf begyndte teamet at justere tidsplanen for offentliggørelsen den 20. oktober.
Proof-of-concept-kode dukkede også op før sikkerhedsopdateringerne. PHP-teamet oplyste dog, at ingen af disse offentligt tilgængelige eksempler fungerede.
Lækagen komplicerede håndteringen ved at afsløre oplysninger, mens administratorerne stadig ventede på officielle rettelser.
Administratorer opfordres til at installere officielle PHP-opdateringer
PHP’s kerneudvikler Gina Peter Banyard advarede om, at officielle sikkerhedsopdateringer er det eneste permanente forsvar mod sårbarhederne.
Tilsvarende opfordrede Storbritanniens nationale cybersikkerhedscenter, National Cyber Security Centre, organisationer til straks at opdatere berørte PHP-servere. Organisationer, der ikke kan installere opdateringerne, bør tage disse servere offline, indtil de kan sikre dem.
Amazon advarede også sikkerhedsansvarlige mod at betragte datoen for offentliggørelsen som den tidligst mulige angrebsdato. Derfor bør undersøgelser også omfatte mistænkelig aktivitet, før sårbarhederne blev offentligt kendt.
Millioner af eksponerede værter viser det potentielle omfang
PHP anvendes på en betydelig del af internettet, herunder websteder, der bruger WordPress, Drupal og Joomla.
VirusTotal overvåger mere end 5,1 millioner interneteksponerede PHP-værter. Af disse har omkring 3,8 millioner mindst én port åben for potentielle angreb.
Eksponering alene beviser dog hverken, at et system er sårbart, eller at det er blevet kompromitteret. Tallene illustrerer det potentielle omfang af sikkerhedsindsatsen snarere end antallet af systemer, som angribere faktisk har haft held til at bryde ind i.
0 svar til “Ifølge Amazon begyndte forsøg på at udnytte PHP2Shell fire dage før sikkerhedsopdateringerne blev udsendt”