PHP2Shell: En status!

Lad os starte med den gode nyhed: der er mig bekendt endnu ikke set aktiv misbrug - med vellykket kompromittering - af hverken den ene eller den anden af de kritiske sårbarheder i PHP (CVE-2026-109618 og CVE-2026-109619). Begge sårbarheder kræver, at angriberen kan få adgang til områder i hukommelsen, som typisk vil være beskyttet af ASLR (Address Space Layout Randomization). Det betyder kort fortalt, at det ikke just er en triviel opgave at afvikle arbitrær kode på et sårbart system, samtidig med at operativ systemet, eller den underliggende arkitektur vil variere fra mål til mål. Man kan altså som udgangspunkt ikke blot automatisere et "generelt" exploit der vil muliggøre kompromittering på sårbare PHP installationer. Det betyder IKKE at sårbarhederne ikke kan misbruges men snarere at det heldigvis ikke er trivielt at automatisere.

En anden observation er, at alle de PoC (Proof of Concept) jeg har set (undtaget et enkelt), er ubrugelige AI-genererede kodeeksempler uden reel funktionalitet og mulighed for kodeeksekvering. Det er imidlertid rimeligt at formode, at den oprindelige forfatter (lcfr_hax) med rimelig sandsynlighed har et pålidelig exploit, der giver stabil kodeeksekvering, dog stadig under særlige forudsætninger. Det eneste PoC der findes, og som jeg er i besiddelse af, er afhængig af brute force for at omgå ASLR og det giver mildest talt en begrænset effekt i ikke målrettede og kontrollerede angreb mod udvalgte PHP installationer hvor man kender arkitekturen.

Lemming effekten
De mange omfattende nedbrud af store websider i går blev ikke udløst som konsekvens af forsøg på at udnytte disse sårbarheder, men snarere et resultat af den panik der opstod som følge af den lidt uheldige offentliggørelse af disse svagheder og et patch der lod vente på sig. At der findes talrige dependencies når man deployer en ny version af PHP er helt alindenligt kendt, og det kan give driftsforstyrrelser og kortere eller længevarende nedtid af webservices. Præcist som det udspillede sig i går.

Forsøg på aktivt misbrug
Ja, der er masser af støj derude, hvor trusselsaktører forsøger at udnytte disse sårbarheder aktivt, men der er mig bekendt, endnu ikke ét eneste dokumenteret eksempel på velykket succesfuld kompromittering. Det vil uden tvivl komme, men lige nu er det mest støj og ikke mindst recognisering. Man bør holde et vågent øje med "Known Exploited Vulnerabilities Catalog" (KVE) som vil blive opdateret når aktivt in the wild misbrug er bekræftet.

Den kan findes her:
https://www.cisa.gov/known-exploited-vulnerabilities-catalog

EoL (End of Life) og IoT
Der er massevis af udstyr der anvender PHP til webservice. Der vil her være et stort antal, som aldrig bliver opdateret og som vil være sårbart fremadrettet. Udstyr som er EoL eller som af forskellige årsager ikke lader sig opdatere skal isoleres. 

Der er kun en vej: patch!
På trods af, at der er delt en masse tips og tricks til workarounds, som f.eks. "session.upload_progress.enabled=0", så er den eneste løsning at opdatere PHP. Opdateringerne er henholdsvis PHP 8.5.12, 8.4.27, 8.3.36, og 8.2.35.

Yderligere oplysninger:
https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
https://www.php.net/archive/2026.php#2026-10-21-5