PHP2Shell
PHP2Shell var to alvorlige sårbarheder i PHP-programmet, der kom til offentlighedens kendskab den 20. oktober 2026. PHP-udviklerne offentliggjorde rettelser dagen efter. PHP2Shell var alvorlig dels på grund af den store udbredelse af PHP til opbygning af dynamiske hjemmeside, dels på grund af at sårbarhederne betød at hackere kunne køre uautoriserede programmer på webservere hvor PHP var benyttet.
De to sårbarheden fik identifikatorerne CVE-2026-109618 og CVE-2026-109619.[1]
PHP-fonden udvikler PHP-programmet og i 2024 havde de en ekstern sikkerhedsrevision af programmet gennem firmaet Quarkslab. Den ene af PHP2Shell-sårbarhederne blev da først opdaget og visse rettelser blev udført, men problemet blev ikke fuldt forstået.[1] I 2026 begyndte flere uafhængig sikkerhedsrevisioner af PHP. Det californiske firma Calif begyndte deres undersøgelser den 30. juli 2026 og kunne den 11. august rapporterer at de kunne hacke sig til at køre uautoriserede programmer via en sårbarhed. Den israelsk-amerikanske it-sikkerhedsvirksomhed Wiz fulgte den 24. august op med opdagelsen af endnu en sårbarhed, og den 18. september 2026 kunne den amerikanske virksomhed OpenAI rapportere et uafhængigt fund af de to sårbarheder.[1]
PHP-fonden arbejdede efter den 11. august med at sikre programmet og havde planlagt en hemmelig og koordineret offentliggørelse og patching af programmet. Der skete dog lækage og om eftermiddagen den 20. oktober begyndte der på online forummer og social medier at opstå rygte om sårbarhederne.[1] Det fik PHP-fonden til at fremrygge offentliggørelsen til den 21. oktober 2026 klokken 16 dansk tid. Om morgen den 21. oktober brød dog virksomheden Chainguard embargoen, der betød af hackere kunne begynde at studere sårbarhedens detaljer.[1]
PHP2Shell fik verdensomspændende opmærksomhed den 21. oktober 2026. I Danmark valgte flere organisation af lukke deres hjemmeside ned indtil de kunne gennemføre de sikkerhedsopdateringer i programmet som PHP-fonden frigav. Således var Aula, København Kommunes hjemmeside samt hjemmesiderne for DMI og Vejdirektoratet lukket ned.[2]
Referencer
[redigér | rediger kildetekst]- 1 2 3 4 5 Today's PHP Security Release, and How We're Strengthening PHP Security (engelsk), PHP foundation, 21. oktober 2026, Wikidata Q141808804
- ↑ Thomas Djursing (22. oktober 2026). "Sladrehank udløste global lavine: Utallige hjemmesider knokler med at lappe hullet". Ingeniøren. Wikidata Q141809883.
