Kritiska sårbarheter i PHP utlöser globala åtgärder för cybersäkerhet

Regeringar, cybersäkerhetsmyndigheter och stora organisationer världen över har skyndat sig att säkra sina system efter upptäckten av två kritiska sårbarheter i PHP, ett av de mest använda webbprogrammeringsspråken på internet. Sårbarheterna, som enligt uppgift förblivit oupptäckta i mer än ett decennium, identifierades av forskare med hjälp av avancerade verktyg för artificiell intelligens och beskrivs som några av de allvarligaste webbsäkerhetsproblemen på senare år.

Sårbarheterna är så allvarliga att nationella cybersäkerhetsmyndigheter i Storbritannien, USA, Europa, Australien och Japan uppmanade organisationer att omedelbart installera säkerhetsuppdateringar eller överväga att ta drabbade system ur drift tills korrigeringar kunde implementeras. Flera organisationer, däribland myndighetswebbplatser, offentliga tjänster och medieplattformar, begränsade tillfälligt åtkomsten eller tog systemen ur drift som en försiktighetsåtgärd.

Säkerhetsforskare uppskattar att bristerna potentiellt kan påverka en stor del av den internetanslutna infrastrukturen, inklusive webbplatser byggda på populära plattformar som WordPress, Drupal och Joomla. Sårbarheterna kan göra det möjligt för angripare att på distans köra skadlig kod, vilket potentiellt kan leda till att webbplatser komprometteras, spridning av skadlig programvara och datastöld.

Även om korrigeringar nu har släppts varnar experter för att organisationer måste agera snabbt för att identifiera sårbara system och övervaka tecken på försök till utnyttjande. Händelsen belyser både AI:s växande roll inom cybersäkerhet och de omfattande riskerna som är förknippade med sårbarheter i grundläggande internetteknik.

Miljontals utnyttjandeförsök efter avslöjandet av kritisk PHP-sårbarhet

Cybersäkerhetsexperter varnar organisationer att omedelbart uppdatera sina system efter att miljontals försök att utnyttja nyligen avslöjade PHP-sårbarheter upptäcktes inom några timmar efter att bristerna blev offentliga. PHP är ett av världens mest använda webbprogrammeringsspråk och ligger till grund för en betydande del av de webbplatser och applikationer som är anslutna till internet.

Enligt stora teknikleverantörer agerade angriparna snabbt för att utnyttja sårbarheterna. Cloudflare rapporterade att antalet utnyttjandeförsök ökade från tusentals före offentliggörandet till miljoner inom några timmar, medan Amazon Web Services varnade för att bristerna redan utnyttjades aktivt i det vilda. Säkerhetsforskare tror att hotaktörer hade försökt utnyttja sårbarheterna redan innan detaljerna officiellt offentliggjordes.

Allvaret i bristerna fick myndigheter och organisationer världen över att vidta försiktighetsåtgärder, bland annat att tillfälligt stänga ner webbplatser medan säkerhetsuppdateringar installerades. Myndigheter i Storbritannien, USA, Australien och Europa har alla uppmanat organisationer att utan dröjsmål installera de tillgängliga säkerhetsuppdateringarna.

Experter varnar för att sårbarheten kan ge angripare en direkt väg att kompromettera webbservrar, installera skadlig programvara, stjäla data eller störa tjänster. Eftersom automatiserade attackverktyg och AI-drivna funktioner påskyndar utnyttjandet rekommenderas organisationer att inte bara patcha drabbade system utan också granska loggar efter tecken på intrång och övervaka pågående skadlig aktivitet.

Svagt lösenord leder till dataintrång som berör tusentals barn

Brittiska dataskyddsmyndigheter har utfärdat en reprimand mot Ogi Networks Limited (ONL) och Data Cymru efter att en cyberattack avslöjade personuppgifter för cirka 3 300 personer, varav de flesta var barn, via ett konto som skyddades av lösenordet ”Password1”.

Enligt Information Commissioner’s Office (ICO) utnyttjade angriparna ett inaktivt testkonto med namnet Test2, som hade varit aktivt i mer än 12 år utan att ha granskats ordentligt eller tagits bort. Ransomware-attacken ledde till att 42 GB data stals och att nästan 183 GB information krypterades, vilket påverkade projekt som stöder barn och familjer.

Utredarna fann att båda organisationerna hade underlåtit att införa adekvata cybersäkerhetskontroller och inte tydligt definierat ansvaret för att skydda de drabbade systemen. ICO uppgav att händelsen belyser hur ett enda svagt lösenord och ett oanvänt konto kan utgöra en betydande säkerhetsrisk.

Efter dataintrånget införde båda organisationerna starkare säkerhetsåtgärder, däribland multifaktorautentisering (MFA), strängare åtkomstkontroller, regelbundna granskningar av konton och uppdaterade avtal om databehandling. Händelsen tjänar som en påminnelse om vikten av grundläggande cybersäkerhetsrutiner, såsom att ta bort inaktiva konton, kräva starka lösenord och regelbundet granska användarnas åtkomst för att minska risken för intrång.

Autonom AI-cyberattackagent upptäckt i det vilda

Säkerhetsforskare har upptäckt en sofistikerad AI-driven cyberattackagent som kan genomföra en hel attackkedja utan mänsklig inblandning. Det autonoma verktyget var utformat för att självständigt utföra upp till 100 000 skadliga åtgärder, bland annat att söka efter sårbara mål, utnyttja säkerhetsbrister, stjäla inloggningsuppgifter, distribuera kryptovalutagruvare och upprätthålla sin närvaro på komprometterade system.

AI-agenten upptäcktes av Symantecs Threat Hunter Team via en AI-honeypot utformad för att locka angripare som riktar in sig på infrastruktur för artificiell intelligens. Forskarna fångade upp skadlig kodens instruktionsuppsättning och fann att den var konstruerad för att kapa exponerade tjänster för stora språkmodeller (LLM), en teknik som kallas LLMjacking, vilket gör det möjligt för angripare att använda AI-resurser från tredje part samtidigt som de undviker upptäckt och driftskostnader.

Analysen visade att agenten hade tillgång till dussintals offensiva verktyg för rekognosering, utnyttjande av sårbarheter, databasstöld, insamling av inloggningsuppgifter och hantering av botnät. Instruktionerna innehöll även tekniker avsedda att kringgå de säkerhetskontroller som är inbyggda i kommersiella AI-modeller och dölja skadlig aktivitet som legitima systemadministrationsuppgifter.

Även om de enskilda attackmetoderna inte är nya varnar forskarna för att kombinationen av dem i en självstyrande AI-agent avsevärt sänker tröskeln för cyberbrottslingar. Upptäckten belyser en växande förändring i hotbilden, där AI inte längre bara bistår angripare utan i allt högre grad fungerar som den motor som självständigt planerar och driver cyberoperationer.

Kritisk sårbarhet i GitLab möjliggör fjärrkörning av kod på självhanterade servrar

GitLab har släppt akuta säkerhetsuppdateringar för att åtgärda en kritisk sårbarhet för fjärrkörning av kod (RCE) med beteckningen CVE-2026-110264, som har det maximala CVSS-betyget 10,0. Sårbarheten påverkar alla självhanterade GitLab-installationer från och med version 7.0, vilket innebär att system som kör programvara som släpptes så långt tillbaka som 2014 kan vara sårbara.

Enligt GitLab beror sårbarheten på ett heltalöverskridande i plattformens motor för bearbetning av reguljära uttryck. Under vissa förhållanden kan en oautentiserad angripare utnyttja sårbarheten för att köra godtycklig kod på en sårbar server utan att behöva logga in. Även om det för närvarande inte finns några bevis för att sårbarheten har utnyttjats i praktiken, varnar säkerhetsexperter för att dess allvar och omfattande påverkan gör att snabba åtgärder är nödvändiga.

GitLab har släppt korrigeringar för flera stödda och äldre versioner, ett ovanligt steg som speglar problemets allvar. Företaget har även släppt detekteringsregler för att hjälpa administratörer att identifiera potentiella utnyttjandeförsök.

Endast självhanterade GitLab-miljöer påverkas, medan GitLab.com och uppdaterade GitLab Dedicated-instanser redan innehåller korrigeringen. Organisationer som kör egenhostade installationer rekommenderas starkt att omedelbart installera de senaste uppdateringarna, eftersom GitLab inte har tillhandahållit någon alternativ lösning. Sårbarheten är den senaste i en serie allvarliga brister som påverkar GitLabs motor för reguljära uttryck och fungerar som ännu en påminnelse om vikten av snabb hantering av säkerhetsuppdateringar för utvecklingsplattformar som är anslutna till internet.

Om du är orolig för något av de hot som beskrivs i detta meddelande eller behöver hjälp med att avgöra vilka åtgärder du bör vidta för att skydda dig mot de allvarligaste hoten mot din organisation, vänligen kontakta din kundansvarige ellerta kontaktmed oss för att få reda på hur du kan skydda din organisation.

”Threat Intel Roundup” har sammanställts av Integrity360 och sammanfattar nyheter om hot utifrån våra observationer, aktuella vid publiceringstillfället. Den ska inte betraktas som juridisk rådgivning, konsultation eller någon annan form av professionell rådgivning. Eventuella rekommendationer bör beaktas utifrån din egen organisations specifika sammanhang. Integrity360 intar ingen politisk ståndpunkt i den information som vi delar. Dessutom är de åsikter som uttrycks inte nödvändigtvis Integrity360:s egna.