Kritiske hull i PHP: NSM ber alle oppdatere – Amazon melder om utbredte angrepsforsøk

Nasjonal sikkerhetsmyndighet (NSM) varslet onsdag formiddag 21. oktober om to kritiske sårbarheter i PHP. Ifølge NSM lar begge hullene en aktør som ikke er logget inn, kjøre vilkårlig kode over internett.

PHP er et programmeringsspråk som brukes til å lage nettsider og nettjenester. Ifølge sikkerhetsselskapet Wiz driver det blant annet publiseringsverktøyene WordPress, Drupal og Joomla, og Wiz anslår at 70 prosent av verdens nettsteder bruker PHP.

Bildet øverst er et illustrasjonsfoto av PHPs maskot, en blå tøyelefant. Det har ingen direkte tilknytning til sikkerhetshullene.

Da NSM sendte ut det første varselet, fantes det ennå ingen rettelse. PHP-prosjektet publiserte sikkerhetsoppdateringene klokken 16.00 norsk tid onsdag, og i et oppdatert varsel samme ettermiddag anbefaler NSM alle systemeiere å installere dem snarest mulig.

Oppdater til disse versjonene

PHP-prosjektet ber alle oppdatere straks til PHP 8.5.12, 8.4.27, 8.3.36 eller 8.2.35. Linux-distribusjoner og leverandører med langtidsstøtte har fått rettelsene på forhånd, så de som bruker PHP fra slike leverandører, bør se etter oppdaterte pakker der.

PHP 8.1 og eldre får ikke lenger oppdateringer fra PHP-prosjektet. På grunn av alvoret har prosjektet likevel laget enkle rettelser i kildekoden for versjon 7.4, 8.0 og 8.1, for dem som bygger PHP selv. PHP 8.2 får sikkerhetsrettelser bare ut desember 2026.

Det finnes midlertidige tiltak som reduserer risikoen, men ifølge både PHP-prosjektet og NSM gir ingen av dem full beskyttelse. Den amerikanske cybersikkerhetsmyndigheten CISA anbefaler at virksomheter som ikke kan oppdatere med en gang, eller som bruker PHP 8.1 eller eldre, tar PHP-baserte systemer av nett til de er oppdatert.

For vanlige brukere av nettsider er det ingenting å oppdatere. Det er eierne av nettstedene og serverne – og leverandørene deres – som må gjøre jobben. Har du et nettsted på et webhotell, kan det være lurt å sjekke at leverandøren har oppdatert PHP.

Feil i selve PHP

Sårbarhetene har fått numrene CVE-2026-109618 og CVE-2026-109619. PHP-prosjektet har gitt begge en alvorlighetsgrad på 9,2 av 10. Tallet 10,0, som har sirkulert på nett, stammer ifølge PHP Foundation fra en lekkasje med feil opplysninger.

Feilen sitter i PHP selv, ikke i nettstedene som er bygget med språket. Den henger sammen med hva som skjer når PHP går tom for minne eller får en alvorlig feil midt i en forespørsel. Da kan det ligge igjen ødelagte eller utdaterte data i minnet, som en senere forespørsel bruker som om de var gyldige.

Ifølge PHP-prosjektet er alle PHP-installasjoner som betjener nettforespørsler utsatt, og risikoen regnes som høyest for oppsett med Apache og mod_php.

Wiz, ett av flere selskaper som rapporterte feilene, skriver at hver PHP-versjon fra det siste tiåret, helt tilbake til versjon 5.4, er rammet av minst ett av hullene. Selskapet viste at det kunne ta kontroll over standardinstallasjoner av WordPress, Drupal og Joomla uten pålogging, og at det kunne lese passord, nøkler og andre data fra serverens minne.

KI gjorde gammel feil farlig

Svakheten har ligget i koden i årevis. Ifølge PHP Foundation fant en utvikler de første tegnene til minneproblemet allerede i 2024, i forbindelse med en ekstern sikkerhetsrevisjon. Uten en kjent angrepsmetode stoppet arbeidet med en rettelse opp og startet på nytt flere ganger.

– Forsinkelsen var en strukturell svikt, forårsaket både av sikkerhetsteamets beslutningsprosess og mangel på ressurser, skriver PHP Foundation (vår oversettelse).

11. august rapporterte sikkerhetsselskapet Calif og OpenAI uavhengig av hverandre om en metode for å fjernstyre servere med samme rotårsak, ifølge stiftelsen. Wiz rapporterte egne funn 24. august. Wiz skriver at selskapet brukte KI-modellene Gemini 4 Argon og GPT-5.6 Sol, og at slike modeller var avgjørende for å lage fungerende angrepskode.

– Med frontmodeller innen KI og de riktige verktøyene klarte én enkelt forsker på en uke det som tidligere ville tatt et team i verdensklasse måneder, skriver Wiz (vår oversettelse).

Lekket før lansering

Planen var å publisere rettelsen torsdag 22. oktober. Ifølge PHP Foundation begynte numrene på sårbarhetene å sirkulere på nett tirsdag 20. oktober rundt klokken 17 norsk tid, og lanseringen ble fremskyndet ett døgn. Samme kveld publiserte Calif ved en feil en video som viste angrepet i bruk. Onsdag morgen la programvareselskapet Chainguard ut ferdige pakker med rettelsen mer enn seks timer før avtalt tid, skriver stiftelsen.

Kildene spriker om utnyttelse

Amazon skriver at selskapets lokkesystemer, såkalte honningkrukker, registrerte et forsøk på å utnytte hullene allerede 17. oktober, fire dager før de ble offentlig kjent. Tidlig onsdag, før rettelsen var ute, så Amazon flere forsøk som ifølge selskapet trolig kom fra ulike aktører. Om disse tidlige forsøkene skriver selskapet at det er uklart om noen av dem ville lyktes mot ekte systemer.

Etter at rettelsen kom, dukket det ifølge Amazon opp ny angrepskode i løpet av timer, og selskapets sensorer ble angrepet nesten med en gang.

– PHP2Shell blir nå utnyttet bredt, skriver Amazons sikkerhetssjef CJ Moses (vår oversettelse).

Sikkerhetsselskapet watchTowr skriver at det har registrert utnyttelse i egne honningkrukker fra 21. oktober.

Myndighetene var mer forsiktige. CISA skrev onsdag at den ikke hadde observert utnyttelse da varselet ble publisert. NSM skriver i sitt oppdaterte varsel at det finnes flere eksempler på påstått angrepskode på internett, men at NSM ikke har bekreftet at de fungerer. NSM er «i skrivende stund ikke kjent med at sårbarhetene har blitt aktivt utnyttet», men antar at fungerende angrepskode vil komme innen kort tid. Varselet var ikke oppdatert etter onsdag da SandnesAvis og StavangerAvis sjekket torsdag morgen.

Dette er ikke bekreftet: Ingen av kildene har opplyst om konkrete innbrudd i norske systemer. Det er heller ikke kjent hvor mange servere som fortsatt kjører sårbare versjoner.

Amazon anbefaler virksomheter å lete etter spor av innbrudd fra og med 17. oktober, ikke bare fra datoen varselet kom.

Kilder

NSM: «Oppdatert varsel: To kritiske sårbarheter i PHP» (publisert og oppdatert 21.10.2026, sjekket 22.10.2026) – https://nsm.no/fagomrader/digital-sikkerhet/digital-hendelseshandtering/varsler-fra-nsm/to-kritiske-sarbarheter-i-php

PHP-prosjektet: «Security advisory: Critical remote code execution vulnerabilities, update now» og forhåndsvarsel (20. og 21.10.2026) – https://www.php.net/

PHP Foundation: «Today's PHP Security Release, and How We're Strengthening PHP Security» (21.10.2026) – https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/

Wiz Research: «PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet» (21.10.2026) – https://www.wiz.io/blog/php2shell-php-rce

AWS Security Blog (CJ Moses): «Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot» (21.10.2026) – https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/

CISA: «Critical Vulnerabilities in PHP Require Immediate Patching» (21.10.2026) – https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching

watchTowr: «PHP RCE FAQ: PHP2Shell» (oppdatert 22.10.2026) – https://watchtowr.com/intelligence/php-cve-2026-109618-faq/

Bilde: Foto: Atomic Taco / Flickr / Wikimedia Commons (CC BY-SA 2.0). Original: https://commons.wikimedia.org/wiki/File:Blue_Open_Goodies_ElePHPant_(23626304652).jpg – lisens: https://creativecommons.org/licenses/by-sa/2.0/