Amazon Threat Intelligence oppdaget forsøk på å utnytte PHP2Shell den 17. oktober, fire dager før utviklerne lanserte sikkerhetsoppdateringer. Forskerne har imidlertid ikke kunnet fastslå om disse tidlige forsøkene faktisk kunne kompromittere systemer i virkelige miljøer.
De to kritiske sårbarhetene, CVE-2026-109618 og CVE-2026-109619, kan gjøre det mulig å kjøre kode eksternt på sårbare PHP-installasjoner. PHPs sikkerhetsteam lanserte rettelser den 21. oktober etter å ha oppfordret administratorer til å forberede seg på hastende oppdateringer.
Amazon oppdaget angrep før offentliggjøringen
Amazon registrerte de tidligste angrepsforsøkene gjennom sin MadPot-honeypot-infrastruktur mens informasjonen om sårbarhetene fortsatt var underlagt embargo.
Ifølge selskapet kom aktiviteten fra en IP-adresse knyttet til et kommersielt anonymiseringsnettverk. Denne kombinasjonen tydet på at en trusselaktør sto bak, selv om etterforskerne ikke vet hvordan aktøren fikk tilgang til informasjon om sårbarhetene.
Deretter observerte Amazon at angripere tok i bruk flere proof-of-concept-utnyttelser fra VPN-adresser innen få timer etter offentliggjøringen. Forskjeller i angrepskoden og anonymiseringstjenestene tydet på at flere aktører var involvert.
Amazon understreket likevel at den tekniske analysen fortsatt pågikk. Selskapet kunne ikke bekrefte om disse forsøkene ville ha fungert mot systemer i virkelige miljøer.
Forskere vurderer bevisene for vellykkede angrep ulikt
Amazon beskrev sårbarhetene som utsatt for omfattende utnyttelse i virkelige miljøer. Funnene etterlater imidlertid usikkerhet om hvor mange angrep, om noen, som faktisk lyktes med å kompromittere servere.
Samtidig presenterte Dataminrs team for trusselforskning og cybersikkerhetsteknikk en mer forsiktig vurdering den 22. oktober. Forskerne rapporterte skanning, identifisering av systemer og utnyttelsesforsøk som ikke fungerte, uten noen kjente kompromitteringer.
Flere andre sikkerhetsselskaper oppdaget også mislykkede forsøk før offentliggjøringen.
Disse funnene skiller mellom angrepsforsøk og bekreftede innbrudd. Selv om forsøkene på å utnytte PHP2Shell begynte før sikkerhetsoppdateringene kom, dokumenterer ikke de tilgjengelige rapportene noen vellykkede tidlige kompromitteringer.
Lekkede opplysninger forstyrret tidsplanen for sikkerhetsoppdateringene
PHPs sikkerhetsteam opplyste at lekket informasjon tvang dem til å fremskynde den koordinerte publiseringsprosessen.
Detaljer dukket opp på nettet to dager før offentliggjøringen, inkludert begge CVE-identifikatorene og veiledning om risikoreduserende tiltak som var delt med enkelte leverandører av kritisk infrastruktur. Som følge av dette begynte teamet å justere tidsplanen for publiseringen den 20. oktober.
Proof-of-concept-kode dukket også opp før sikkerhetsoppdateringene. PHP-teamet opplyste imidlertid at ingen av disse offentlig tilgjengelige eksemplene fungerte.
Lekkasjen kompliserte håndteringen ved å avsløre informasjon mens administratorene fortsatt ventet på offisielle rettelser.
Administratorer oppfordres til å installere offisielle PHP-oppdateringer
PHPs kjerneutvikler Gina Peter Banyard advarte om at offisielle sikkerhetsoppdateringer er det eneste permanente forsvaret mot sårbarhetene.
På samme måte oppfordret Storbritannias nasjonale cybersikkerhetssenter, National Cyber Security Centre, organisasjoner til å oppdatere berørte PHP-servere umiddelbart. Organisasjoner som ikke kan installere oppdateringene, bør ta disse serverne offline til de kan sikre dem.
Amazon advarte også sikkerhetsansvarlige mot å betrakte datoen for offentliggjøringen som den tidligst mulige angrepsdatoen. Derfor bør undersøkelser også omfatte mistenkelig aktivitet før sårbarhetene ble offentlig kjent.
Millioner av eksponerte verter viser det potensielle omfanget
PHP brukes på en betydelig andel av nettet, inkludert nettsteder som benytter WordPress, Drupal og Joomla.
VirusTotal overvåker mer enn 5,1 millioner internetteksponerte PHP-verter. Av disse har omtrent 3,8 millioner minst én port åpen for potensielle angrep.
Eksponering alene beviser imidlertid verken at et system er sårbart eller at det har blitt kompromittert. Tallene illustrerer det potensielle omfanget av sikkerhetsarbeidet, snarere enn antallet systemer angripere faktisk har klart å bryte seg inn i.
0 responses to “Ifølge Amazon startet forsøk på å utnytte PHP2Shell fire dager før sikkerhetsoppdateringene ble utgitt”