Nedfallet från PHP2Shell-sårbarheten har eskalerat till en av internets största samordnade nödåtgärder på flera år, med regeringar som drar webbplatser offline som en försiktighetsåtgärd och säkerhetsföretag rapporterar miljontals utnyttjandeförsök mot webbplatser som kör PHP-programmeringsspråket, vilket ligger till grund för ungefär 70 procent av världens webbplatser.
Miljontals exploateringsförsök inom några timmar For more context on this story, see our ongoing AI news.
Enligt The Guardian sa Cloudflares vd Matthew Prince att hans företag registrerade tiotusentals utnyttjandeförsök under de första 45 minuterna efter att sårbarheten blev offentlig, och stigit till hundratusentals inom två timmar och "miljoner nu". Cloudflare rapporterade också att ha sett tusentals försök under de 10 timmarna innan felet offentliggjordes, en detalj som har väckt oro över hur avslöjandet hanterades.
Amazon Threat Intelligence sa att PHP2Shell "nu exploateras i det vilda" och att det identifierade flera försök från flera aktörer att hitta sätt att dra nytta av sårbarheten redan innan PHP-utvecklare släppte fixen på onsdagen. Säkerhetsprofessor Alan Woodward vid University of Surrey berättade för tidningen att felet avslöjades en dag innan plåstret var tillgängligt och sa att "någon släppte ut katten ur påsen."
Regeringar tar webbplatser offline för att korrigera
Responsen har varit ovanligt drastisk. I Storbritannien berättade cybersäkerhetsminister Liz Lloyd för parlamentet att 32 statliga tjänster hade tagits offline, och beskrev flytten som till stor del en försiktighetsåtgärd medan uppdateringar tillämpades. Downing Street sa att inga kritiska tjänster som riktar sig till allmänheten hade påverkats och att vissa begränsade tjänster kan vara tillfälligt otillgängliga, men betonade att detta inte betydde att de hade blivit hackade.
Storbritanniens National Cyber Security Center skickade 50 000 varningar till berörda organisationer och sa att de inte hade fått några rapporter om framgångsrika hack. Byrån beskrev sårbarhetens omfattning som "oöverträffad" och varnade för att patchen inte kommer att fungera för vissa organisationer som kör äldre system, som kommer att behöva ersätta dem helt. Webbplatser som enligt uppgift påverkats av tillfälliga avbrott inkluderar BBC:s webbplats för Traitors show, Internet Archive, Wikipedia och 4Chan.
I USA utfärdade National Security Agency en rådgivande varning om att felet kan låta angripare ta kontroll över webbservrar, stjäla känslig data, störa tjänster och gå djupare in i komprometterade nätverk. "Cyber-aktörer kommer sannolikt att beväpna PHP2Shell", sa byrån och tillade att riskerna "är allvarliga nog att kräva omedelbar korrigering mellan amerikanska regeringsdepartement och byråer."
Nödberedskapen passerade snabbt gränserna. Sydkorea aktiverade nödåtgärder, höjde sin privata cybersäkerhetsvarningsnivå och utfärdade vägledning till tiotusentals företag. Kinas industriministerium uppmanade organisationer att inspektera sina system, uppgradera till den senaste säkra versionen av PHP och ändra lösenord och nycklar. Japans premiärminister uppmuntrade företag att korrigera sårbarheten eller stänga ner sina webbplatser.
Varför PHP2Shell kallas historisk
Ciaran Martin, tidigare vd för NCSC, beskrev felet som "mycket dåligt" och "den allvarligaste sårbarheten som upptäckts på fem år." Wiz, en av forskningsorganisationerna som upptäckte sårbarheten, har sagt att det är en av de allvarligaste mjukvarubrister som någonsin upptäckts.
Sårbarhetens ursprung är det som gör den till ett landmärke för AI-säkerhet. Enligt Wiz hade de underliggande PHP-bristerna funnits i årtionden, men att visa att de faktiskt var exploaterbara krävde en exceptionellt komplex kedja av steg i utkanten av vad mänskliga forskare praktiskt sett kunde uppnå. "Frontier AI-modeller minskade den barriären avsevärt och förvandlade en långvarig brist till en exploatering", skrev företaget i sitt blogginlägg.
NSA:s varning fokuserar på vad angripare kan göra med åtkomst. Internetinfrastrukturexperten Michał Woźniak sa till The Guardian att fientliga aktörer kan "ta tag i resurserna" på utsatta webbplatser, eftersom stora webbplatser kontrollerar värdefull datorkraft, servrar och IP-adresser. Kriminella grupper kan häcka inuti utsatta webbplatser för att starta attacker som inte kan spåras tillbaka till dem, medan kryptogruvarbetare kan kapa servrar för att köra energikrävande beräkningar gratis. I många fall, noterade han, skulle webbplatsägare inte ens vara medvetna om kompromissen.
En varning mitt i larmet
Alla tror inte att skadan är skedd. Ryan Austin, en forskare på cybersäkerhetsföretaget Calif som var nyckeln till att upptäcka felet, sa till The Guardian att "för närvarande ser det inte ut som att exploateringen har tagit fart eller varit utbredd." De brittiska handelskamrarna sa att störningen ännu inte hade orsakat betydande svårigheter för brittiska företag.
Den tidigare GCHQ-chefen Sir David Omand varnade dock för att statliga motståndare inklusive Ryssland och Kina kan försöka utnyttja felet innan försvaret är helt på plats, en påminnelse om att fönstret mellan avslöjande och fullständig åtgärd är när internet är mest utsatt.
Vad webbplatsoperatörer bör göra nu
För organisationer som fortfarande är utsatta är riktlinjerna från byråer konsekventa: uppgradera till den senaste korrigerade versionen av PHP omedelbart, verifiera att korrigeringar har tillämpats rent och där systemen är för gamla för att acceptera korrigeringen, isolera eller ersätta dem. NCSC:s varning om att vissa äldre system inte kan korrigeras alls tyder på att den långa svansen av denna sårbarhet kommer att bestå långt bortom den nuvarande nödsituationen.
Avsnittet avgör också en debatt om AI-stödd offensiv forskning. Det som var teoretiskt för en vecka sedan är nu en global incident: ett AI-system hittade ett sätt att beväpna buggar som legat oexploaterade i decennier, och varje regering på internet ägnar nu sin vecka åt att städa upp.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
