Vigtige indsigter
- Krypto-nyhederne indeholder en advarsel fra Binance-grundlæggeren Changpeng Zhao om to kritiske PHP-sårbarheder.
- PHP-udviklerne fremskyndede udgivelsen af sikkerhedsopdateringer til den 21. oktober, efter at detaljer om sårbarhederne var lækket online.
- Forskere har opdaget forsøg på udnyttelse, men der er ingen bekræftede hændelser vedrørende tegnebøger eller børser, der kan knyttes til sårbarhederne.
Krypto-nyhederne satte fokus på websidesikkerhed, efter at Binance-grundlæggeren Changpeng Zhao havde advaret brugerne om to kritiske PHP-sårbarheder. Den 22. oktober opfordrede han til forsigtighed ved browsing i de kommende dage.
Sårbarhederne kan give angribere mulighed for at udføre kode på sårbare servere uden godkendelse. De berørte installationer omfatter platforme som WordPress, Magento, Drupal og Joomla.
Udviklerne udsendte nødopdateringer den 21. oktober, efter at oplysninger var lækket før den planlagte offentliggørelse. Forskere har opdaget forsøg på udnyttelse, mens nogle administratorer muligvis stadig skal opdatere deres systemer. Der er ikke bekræftet nogen hændelser, der involverer kryptovalutabørser eller brugerlommebøger, som direkte kan kædes sammen med de nyligt afslørede sårbarheder.
Krypto-nyhedsadvarsel fremhæver risici fra hjemmesider uden sikkerhedsopdateringer
Changpeng Zhao rettede sin advarsel i krypto-nyhederne mod webstedsadministratorer, der muligvis ikke har installeret de seneste sikkerhedsopdateringer. Hans advarsel vedrørte websteder, som angribere kunne kompromittere via sårbare PHP-installationer.
PHP kører på millioner af hjemmesider verden over. Sårbarhederne påvirker serverinfrastrukturen, som angribere kan udnytte til at få adgang til følsomme oplysninger eller ændre indhold.
For læsere af kryptonyheder handler det om, hvor et angreb starter. At besøge en PHP-hjemmeside kompromitterer ikke automatisk en enhed eller en kryptovaluta-wallet.
Angribere, der har kontrol over en server, kan dog ændre login-sider eller indsætte falske anmodninger om opkobling til tegnebøger. Den deraf følgende risiko afhænger af, hvilken adgang de har opnået.
Binance-grundlæggeren fremsatte sin advarsel på baggrund af phishing-kampagner rettet mod brugere af kryptovaluta. Tidligere rapporter har beskrevet falske Ledger-hjemmesider, der forsøger at få fat i gendannelsesfraser, samt Trezor-phishing-e-mails, der udsendes via kompromitteret infrastruktur.
Ingen af disse hændelser har nogen forbindelse til de nyligt afslørede PHP-sårbarheder.
Kritiske PHP-sårbarheder udløser en fremskyndet sikkerhedsopdatering
PHP Foundation har identificeret sårbarhederne som CVE-2026-109618 og CVE-2026-109619. Begge har fået en alvorlighedsvurdering på 9,2 ud af 10.
Den første vedrører hukommelseskorruption, når PHP når sin konfigurerede hukommelsesgrænse under visse operationer. Under specifikke betingelser kan forkert håndtering af delvist initialiserede data muliggøre uautoriseret kodeudførelse.
Den anden sårbarhed skyldes, at interne referencer forbliver tilgængelige, efter at PHP har frigivet den tilknyttede hukommelse. Forskere har demonstreret, at det er muligt at udføre kode mod applikationer, der kører på de berørte servere.
Fonden bekræftede, at sårbarheden kunne udnyttes under standardkonfigurationer af Apache ved brug af mod_php. Forskerne demonstrerede også angrebsveje, der involverede PHP-FPM.
Udviklerne udgav PHP-versionerne 8.2.35, 8.3.36, 8.4.27 og 8.5.12 den 21. oktober. Den officielle sikkerhedsmeddelelse opfordrede til øjeblikkelige opdateringer, da midlertidige beskyttelsesforanstaltninger ikke fuldt ud kunne fjerne risikoen.
PHP-grene, der ikke længere understøttes, kan være afhængige af separate rettelser fra hostingudbydere eller softwareudbydere.
Crypto News Alert følger lækager før koordineret offentliggørelse
Sårbarhedsidentifikatorerne dukkede op på fora og sociale medier den 20. oktober. Disse indlæg indeholdt en forkert alvorlighedsvurdering på 10,0 og en unøjagtig tidsplan for offentliggørelsen.
Det oprindelige læk indeholdt ingen tekniske instruktioner til udnyttelse. Advarslen fra krypto-nyhedsmediet fulgte en offentliggørelsesproces, der blev forstyrret af yderligere materiale, der cirkulerede online.
Sikkerhedsfirmaet Calif offentliggjorde efterfølgende ved en fejl en proof-of-concept-video. Der cirkulerede kopier, efter at videoen var blevet fjernet, og forskere udviklede yderligere demonstrationer af udnyttelsen.
PHP-teamet fremskyndede den planlagte udgivelse den 22. oktober med én dag. Dette gav softwareudbydere tid til at forberede opdateringer og begrænsede samtidig den periode, hvor tekniske detaljer cirkulerede, uden at der var rettelser til rådighed. Fonden kritiserede også Chainguard for at have udgivet rettede softwarebilleder mere end seks timer før den koordinerede offentliggørelse.
Ifølge selskabet kunne angribere undersøge disse ændringer, før de blev offentliggjort. Cloudflare iværksatte firewall-beskyttelse inden offentliggørelsen i samarbejde med forskere fra OpenAI, Wiz og andre organisationer.
Cloudflare kaldte sårbarhederne for PHP2Shell og identificerede risici, herunder fjernkørsel af kode, afbrydelse af tjenester og eksponering af følsomme data.
Det canadiske center for cybersikkerhed opfordrede organisationer, der kører PHP-applikationer, der er tilgængelige via internettet, til at identificere sårbare installationer og installere de tilgængelige opdateringer.