PHP-hullet blev lækket fire dage før rettelsen var klar

De to sikkerhedshuller i PHP, som i denne uge fik Aula, DMI og en række kommunale hjemmesider til at lukke, var kendt af sikkerhedsfolk siden sommeren. Rettelsen skulle have været udgivet den 22. oktober efter en koordineret plan. Men oplysningerne slap ud fire dage før. Det skriver Version2 i en gennemgang af forløbet. PHP Foundation bekræfter i sin sikkerhedsmeddelelse, at hullerne kan give adgang til at køre kode på en server uden login.

Fundet af AI i sommer

Ifølge Version2 blev hullerne, CVE-2026-109618 og CVE-2026-109619, fundet i dagene efter den 30. juli. Det skete med AI-værktøjer hos sikkerhedsfirmaet Calif sammen med OpenAI og Wiz under initiativet Patch the Planet (åbner i nyt faneblad), som OpenAI har sat i gang for at styrke it-sikkerheden. En kerneudvikler hos PHP havde allerede i 2024 fundet en fejl i den måde, PHP håndterer hukommelse på. Den blev anset for teoretisk, fordi ingen kunne vise et fungerende angreb.

I starten af august viste sikkerhedsforsker Ryan Austin fra Calif sammen med folk fra Wiz, at hullerne kunne udnyttes. Sammen med PHP Foundation blev en sikkerhedsopdatering forberedt, og planen var at offentliggøre den 22. oktober.

Fire dage før

Den 17. oktober begyndte Amazon Threat Intelligence (åbner i nyt faneblad) at melde om forsøg på angreb mod PHP, skriver Version2. Den 20. oktober lækkede en anonym hacker oplysninger om de to huller på Hacker News, og udgivelsen blev rykket en dag frem. Calif viste desuden kortvarigt en video af, hvordan hullerne kunne udnyttes, ifølge The Register.

Natten til den 21. oktober skrev PHP, at man frygtede, at kritisk information om opdateringerne var sluppet ud, og pegede på firmaet Chainguard, som ellers havde samarbejdet om rettelserne. Ifølge PHP »brød Chainguard ensidigt embargoen og offentliggjorde kompilerede versioner, der indeholdt rettelsen«. Det skete mere end seks timer før den koordinerede frigivelse.

Chainguards direktør, Dan Lorenc, ser anderledes på det. Angrebene var allerede i gang, og hackere delte hullerne på sociale medier, lyder hans forklaring. »Det er en koordineret offentliggørelse af sårbarheder, medmindre der er beviser for, at der foregår aktive angreb i det fri«, siger han ifølge The Register.

Hvad PHP siger

PHP Foundation skriver i sin sikkerhedsmeddelelse, at versionerne 8.5.12, 8.4.27, 8.3.36 og 8.2.35 lukker de to huller. Alle installationer, der svarer på webforespørgsler, er i risikogruppen, og risikoen vurderes størst for Apache med mod_php. PHP 8.1 og ældre får ikke længere opdateringer, men sikkerhedsholdet har lavet minimale rettelser til 7.4, 8.0 og 8.1 til dem, der bygger fra kildekode eller ikke har en leverandør.

Kan man ikke opdatere med det samme, nævner PHP en række indstillinger, der mindsker risikoen ad bestemte angrebsveje. De gør ikke en installation sikker, understreger meddelelsen. Kun en opdatering er en fuld løsning.

Hvad sker nu

Ifølge Version2 bruges PHP på op mod 70 procent af alle webservere. Herhjemme lukkede Aula, Københavns Kommunes hjemmesider, DMI og Vejdirektoratet ned, mens hullerne blev lappet. Hvem der lækkede oplysningerne første gang, er stadig uvist, skriver Version2.