Sårbarheterna i PHP2Shell bekräftas utnyttjas i verkliga miljöer

Säkerhetsforskare har bekräftat att de kritiska PHP2Shell- sårbarheterna, registrerade som CVE-2026-109618 och CVE-2026-109619, aktivt utnyttjas i verkliga attacker. Sårbarheterna, som påverkar det allmänt använda programmeringsspråket PHP, gör det möjligt för angripare att utföra fjärrkörning av kod (RCE), vilket potentiellt ger dem kontroll över sårbara webbservrar.

Forskare som drivit honeypots anslutna till internet har samlat in bevis på framgångsrika utnyttjanden mot en Apache-server som kör PHP 8.4.26, vilket utgör den starkaste bekräftelsen hittills på att angripare på ett tillförlitligt sätt kan utnyttja sårbarheterna. Tidigare rapporter hade identifierat omfattande skannings- och utnyttjandeförsök, men de flesta observerade attackerna misslyckades innan säkerhetsuppdateringar blev tillgängliga.

Sårbarheterna har rönt stor uppmärksamhet på grund av PHP:s omfattande användning på webbplatser, i webbapplikationer och i innehållshanteringssystem världen över. Säkerhetsleverantörer varnade tidigare för att hotaktörer började söka efter sårbara system redan innan säkerhetsuppdateringarna släpptes offentligt, och aktiviteten har ökat avsevärt efter offentliggörandet.

PHP-utvecklingsteamet har redan släppt säkerhetsuppdateringar, och organisationer uppmanas att installera uppdateringarna omedelbart. Experter varnar för att system som inte har uppdaterats fortfarande löper hög risk att komprometteras, samtidigt som en nyligen avslöjad sårbarhet i PHP – för vilken det ännu inte finns någon tillgänglig uppdatering – skapar ytterligare oro för de som övervakar infrastruktur som är ansluten till internet. Läs våra riktlinjer HÄR.

Före detta försvarsminister hävdar att cyberattacken mot Jaguar Land Rover var statligt stödd

En ny debatt har uppstått kring cyberattacken som allvarligt störde verksamheten hos Jaguar Land Rover (JLR) år 2025, efter att den tidigare brittiske försvarsministern Al Carns offentligt antydde att incidenten stöddes av en fientlig utländsk stat. Attacken, som tidigare kopplats till en rysk cyberbrottsgrupp, tvingade Storbritanniens största biltillverkare att stoppa produktionen i fem veckor och störde verksamheten hos tusentals företag i hela dess leveranskedja.

Cyberattacken beräknas ha orsakat ekonomiska skador på mellan 1,6 och 2,1 miljarder pund, vilket gör den till en av de mest kostsamma cyberincidenterna i Storbritanniens historia. Cirka 5 000 organisationer, däribland återförsäljare, leverantörer och reparationspartner, uppges ha drabbats då JLR tvingades stänga av viktiga IT-system och tillverkningsverksamheter.

Även om Carns klargjorde att hans kommentarer inte baserades på någon officiell bedömning från regeringen, hävdade han att en attack av sådan omfattning sannolikt inte skulle kunna inträffa utan att värdlandet var medveten om den. Brittiska myndigheter har inte formellt tillskrivit incidenten någon statlig aktör, och regeringen har avböjt att kommentera pågående utredningar.

Attacken utlöste en omfattande internationell insats där Storbritanniens nationella cybersäkerhetscenter (NCSC), den nationella brottsbekämpningsmyndigheten (NCA), FBI och cybersäkerhetsexperter från den privata sektorn deltog. Händelsen har återuppväckt diskussionerna om skydd av kritisk infrastruktur, motståndskraft i leveranskedjan och den växande överlappningen mellan cyberbrottslighet och geopolitiska hot.

ENGIE bekräftar dataintrång hos kunder efter att en tredjepartsplattform komprometterats

Det franska energibolaget ENGIE har bekräftat att kunddata stulits efter att angripare komprometterat en marknadsföringsplattform som används av en av företagets affärspartners. Incidenten påverkade inte ENGIE:s interna IT-system, men obehörig åtkomst till tredjepartsplattformen ledde till att kundinformation kopplad till företagets verksamhet i Frankrike exponerades.

Enligt ENGIE omfattar de komprometterade uppgifterna kundernas kontaktuppgifter och begränsad information relaterad till energikontrakt. Den exponerade informationen ska enligt uppgift omfatta namn, postadresser, e-postadresser, telefonnummer, kund-ID och kontraktsnummer. Företaget betonade att inga bank- eller betalningsuppgifter kom i händerna på angriparna under intrånget.

ENGIE uppgav att man snabbt återkallade angriparnas åtkomst, underrättade berörda myndigheter och kontaktade de drabbade kunderna. De drabbade har uppmanats att vara vaksamma mot försök till nätfiske och bedrägerier, eftersom cyberbrottslingar ofta använder stulna personuppgifter för att få bedrägliga meddelanden att verka mer trovärdiga.

Även om företaget inte har avslöjat hur många kunder som drabbades eller tillskrivit attacken en specifik hotgrupp, belyser incidenten de cybersäkerhetsrisker som är förknippade med tredjepartsleverantörer och marknadsföringsplattformar. Dataintrånget fungerar som ännu en påminnelse om att organisationer måste utvidga sin säkerhetsövervakning bortom sina egna system till att även omfatta partners och tjänsteleverantörer som hanterar kunddata.

Belgisk skatteportal stängd efter cyberattack

Belgiens federala finansförvaltning (FOD Financiën) har tillfälligt stängt av flera onlinetjänster, däribland skatteportalen MyMinfin, efter att ha upptäckt en cyberattack riktad mot sin digitala infrastruktur.

MyMinfin används i stor utsträckning av privatpersoner och företag för att hantera skattedeklarationer, granska finansiella dokument och få tillgång till statliga skattetjänster. Som en försiktighetsåtgärd har myndigheterna stängt av åtkomsten till plattformen medan tekniska team utreder incidenten och inför ytterligare säkerhetsåtgärder.

Störningen har även påverkat andra digitala tjänster som drivs av skattemyndigheten, vilket har fått tjänstemännen att meddela att vissa tidsfrister för skattedeklarationer kommer att förlängas. Uppdaterade inlämningsdatum förväntas meddelas så snart tjänsterna är återställda.

I detta skede uppger FOD Financiën att det inte finns några bevis för att personuppgifter eller finansiella uppgifter har läckt ut, även om utredningarna fortfarande pågår. Myndigheterna fortsätter att utvärdera incidentens fulla omfattning och arbetar med att säkra de drabbade systemen innan tjänsterna åter tas i drift.

Attacken belyser de växande utmaningarna inom cybersäkerhet som myndigheter och kritiska offentliga tjänster står inför, där tillgänglighet och dataskydd förblir centrala prioriteringar inför allt mer sofistikerade cyberhot.

Dataintrång hos Sony avslöjar 2,5 miljoner kunduppgifter

Sony Network Communications, ett dotterbolag till Sony Group, har bekräftat ett omfattande dataintrång som har exponerat personuppgifter för cirka 2,5 miljoner nuvarande och tidigare kunder. Incidenten drabbade företagets internetplattform So-net och upptäcktes flera dagar efter att obehörig åtkomst till kunddatabaserna hade skett.

Enligt företaget omfattar de komprometterade uppgifterna kundnamn, telefonnummer, e-postadresser, användar-ID, födelsedatum, uppgifter om kön och identifierare för internetanslutningar. Även om inga bankuppgifter, betalkortsuppgifter eller finansiella kontouppgifter har läckt ut, har utredarna bekräftat att man även har fått tillgång till mer än 54 000 e-postkonton och tillhörande lösenord, vilket har lett till säkerhetsvarningar och rekommendationer om att byta lösenord.

Intrånget påverkar både So-net-kunder och användare av tjänster som tillhandahålls genom ett samarbete med NTT Docomo, en av Japans största telekomleverantörer. Som en följd av detta har NTT Docomo varnat kunderna att vara vaksamma på nätfiskekampanjer och bedrägliga webbplatser som försöker utnyttja den stulna informationen.

Sony har anmält händelsen till Japans dataskyddsmyndighet och fortsätter att utreda orsaken till och omfattningen av dataintrånget. Även om det för närvarande inte finns några bevis för att de stulna uppgifterna aktivt har missbrukats, understryker dataintrånget de växande cybersäkerhetsriskerna som telekomleverantörer står inför samt värdet av kunddata för cyberbrottslingar.

Om du är orolig för något av de hot som beskrivs i detta meddelande eller behöver hjälp med att avgöra vilka åtgärder du bör vidta för att skydda dig mot de allvarligaste hoten mot din organisation, vänligen kontakta din kundansvarige ellerta kontaktmed oss för att få reda på hur du kan skydda din organisation.

”Threat Intel Roundup” har sammanställts av Integrity360 och sammanfattar nyheter om hot utifrån våra observationer, aktuella vid publiceringstillfället. Den ska inte betraktas som juridisk rådgivning, konsultation eller någon annan form av professionell rådgivning. Eventuella rekommendationer bör beaktas utifrån din egen organisations specifika sammanhang. Integrity360 intar ingen politisk ståndpunkt i den information som vi delar. Dessutom är de åsikter som uttrycks inte nödvändigtvis Integrity360:s egna.