PHP2Shell: hvorfor mange nettsteder gikk ned denne uken, og hva man bør gjøre nå

En feil i en av internettets vanligste byggesteiner tvang organisasjoner til å ta nettstedene sine ut av drift. Her forklarer vi hva som skjedde, hvorfor dette er viktig, og hva organisasjonene bør gjøre videre.

Onsdag 21. oktober ble offentlige tjenester, kommunale nettsider, biblioteker og nettbutikker over hele Europa og utenfor kontinentet tatt av nettet med få timers mellomrom – ikke fordi de hadde blitt hacket, men som en forebyggende tiltak for å beskytte seg selv.

Årsaken var en alvorlig sikkerhetsfeil i PHP, programmeringsspråket som ligger til grunn for de fleste av verdens nettsteder. Besøkende ser det aldri, men det er dette som gjør et nettsted til en fungerende tjeneste ved å håndtere pålogginger, handlekurver, skjemaer og forbindelsen til databasen bak dem. Sikkerhetshullet, kalt PHP2Shell, kunne gi en angriper mulighet til å ta kontroll over en webserver uten passord. Fordi detaljene ble lekket før en løsning var klar, rådet sikkerhetsmyndigheter i flere land organisasjoner til å slå av sårbare tjenester inntil de kunne oppdatere dem.

Sikkerhetshull oppdages stadig vekk, men de fleste berører bare ett enkelt produkt eller selskap. Dette sikkerhetshullet finnes i programvare som millioner av nettsteder bruker, så alle ble sårbare på en gang.

Det ble sluppet en oppdatering senere på onsdag, og selv om mange tjenester allerede er tilbake på nettet, vil det ta dager eller til og med uker å få andre tjenester oppe og gå igjen.

Hvorfor dette er viktig også i tiden fremover

Sikkerhetsforskere fra Calif, Wiz og OpenAI oppdaget sikkerhetshullet i august ved hjelp av AI-verktøy som en del av et OpenAI-initiativ for å finne svakheter i utbredt programvare. Problemet hadde eksistert i PHP i flere år, men det ble ansett som for komplisert å utnytte inntil AI gjorde arbeidet langt enklere. Planen var å publisere detaljene sammen med en løsning, slik at organisasjonene skulle få tid til å oppdatere, men informasjonen lekket ut før løsningen var klar.

De samme AI-verktøyene hjelper nå både forskere og angripere med å finne sårbarheter raskere enn noensinne, og vi forventer at antallet oppdagelser vil fortsette å øke. Derfor bør dere være forberedt på å reagere raskt når den neste sårbarheten dukker opp.

Flere stilte seg de samme spørsmålene:
Er vi berørt?

Hvis din virksomhet bruker noe som er bygget på PHP, bør du gå ut fra at dette er tilfelle inntil du har sjekket det. Utfordringen ligger i å finne ut hvor PHP brukes, siden det sjelden er begrenset til det offentlige nettstedet, men kan forekomme i interne applikasjoner, en nettbutikk, et intranett eller programvare kjøpt fra en leverandør som du ikke kan oppdatere selv.

De fleste organisasjoner vet hvordan de skal utbedre en sårbar komponent når de først har funnet ut hvor den befinner seg, så det egentlige problemet er oversikten – mange bedrifter vet rett og slett ikke om de er sårbare.

Har vi blitt utsatt for et datainnbrudd?

Dette er spørsmålet vi har hørt oftest denne uken, og å installere oppdateringen gir ikke svar på det. Angripere prøvde allerede å utnytte sikkerhetshullet før oppdateringen ble sluppet, noe som betyr at et system som ble oppdatert på onsdag, likevel kan ha vært utsatt for angrep tidligere. Hvis du ikke har kontinuerlig sikkerhetsovervåking på plass, bør du be IT-avdelingen eller hostingleverandøren din om å sjekke systemene dine for uvanlig aktivitet de siste ukene.

Vårt (SOC) sikkerhetsoperasjonssenter har overvåket kundenes miljøer i mer enn et tiår, noe som gir oss et klart bilde av hvor sårbare PHP-komponenter befinner seg i systemene vi overvåker, og om det har skjedd noe uvanlig på dem. I løpet av denne tiden har vi flere ganger sett at mye brukt software har blitt utnyttet i stor skala, og vår deteksjonsfunksjon er utviklet for å oppdage angrep på sårbarheter i webapplikasjoner som denne.

Hva skal vi gjøre nå?

De nøyaktige trinnene avhenger av hvordan du har konfigurert systemet ditt, men arbeidsrekkefølgen er den samme for alle:

• Finn ut hvor PHP brukes i organisasjonen din, inkludert interne systemer og leverandørprogramvare.
• Oppdater til en feilrettet versjon. Eldre versjoner (PHP 8.1 og tidligere) oppdateres ikke lenger av PHP-prosjektet selv, men mange leverandører av operativsystemer og webhotell har gitt ut oppdaterte versjoner. Hvis det ikke finnes noen tilgjengelig for ditt miljø, må du foreta en større oppgradering.
• Start alle tjenester som bruker PHP på nytt, slik at den gamle, sårbare koden ikke lenger kjører.
• Spør leverandørene dine om programvaren de leverer, er oppdatert.
• Sjekk om systemene dine viser tegn på tidligere sikkerhetsbrudd, og begynn med de som er synlige på internett.

For IT-team er sårbarhetene CVE-2026-109618 og CVE-2026-109619, som er utbedret i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Hvis du bruker PHP fra operativsystemleverandøren din, bør du sjekke leverandørens sikkerhetsmelding, da oppdaterte pakker ofte beholder sitt gamle versjonsnummer.

Hvorfor er noen nettsteder fortsatt nede?

Jo lenger et nettsted er nede, desto større er oppgaven som ligger bak det, som regel. Lange driftsavbrudd tyder vanligvis på utdaterte programvareversjoner og et stort etterslep av oppdateringer – noe som er et tegn på at den tekniske gjelden blir synlig.

Forfatter

Nicolas Samáneh

Intelligence and Forensics Manager