Hacker knakk PHP-server med bitcoin for 2000 dollar som agn på 19 timer

En server med en uoppdatert PHP-installasjon, lagt ut på nettet med en privatnøkkel til en bitcoin-lommebok som lokkemat, holdt ut i mindre enn ett døgn. En forsker som bruker aliaset KillaBoi, brøt seg inn via PHP2Shell – de to kritiske sårbarhetene i språket som ligger bak det meste av nettet – og hentet ut nøkkelen. Den samme helgen registrerte en honeypot drevet av en sikkerhetsansvarlig hos Perplexity at en angriper gjorde det samme mot en ekte server. Dermed faller den behagelige teorien om at disse feilene var for vanskelige å utnytte til at noen ville prøve.

Dette er viktig for alle som driver et nettsted, og for alle som har data lagret på et. PHP ligger til grunn for WordPress, Drupal, Joomla og det meste av delt webhotell, og disse sårbarhetene kan gjøre det mulig for uvedkommende uten en brukerkonto å kjøre kommandoer på serveren. Etter at sikkerhetsoppdateringene kom, har hovedargumentet for å vente vært at offentlige angrepsforsøk stadig mislyktes. Begge resultatene svekker dette argumentet.

Utfordringen, kalt Steal My Bitcoin, ble lagt ut på et eget nettsted og kunngjort i et foruminnlegg. Skaperen, som skrev under navnet cloudlandsdev, skrev: «Laget dette fordi jeg lurer på om noen der ute har funnet ut hvordan man faktisk kan bruke denne PHP RCE-sårbarheten. Vi har fått panikk de siste dagene. Kos dere!» Premien startet på rundt 502 dollar og vokste gjennom donasjoner til 0.02511679 BTC, verdt 2 021,22 dollar da den ble gjort krav på – omtrent 19 timer etter lanseringen, ifølge Tom’s Hardware. Serveren knelte under trafikken fra folk som prøvde seg, og begrenset lagringsplass gjorde at den ikke kunne ta vare på alle loggene.

KillaBoi publiserte deretter en proof of concept på GitHub. Mark Maunder, grunnleggeren av WordPress-sikkerhetsselskapet Wordfence, kalte gjennomgangen «den desidert beste forklaringen du får på hvor vanskelig #php2shell er å utnytte», og viste til hvor mye presist arbeid angrepet krevde. Men vanskelig viste seg ikke å bety langsomt.

Det mer bekymringsfulle resultatet kom utenfra konkurransen. Adel Karimi, som leder arbeidet med deteksjon og respons hos Perplexity, sa at honeypotene hans fanget opp et bekreftet fjernkjøringangrep mot en Apache-server med PHP 8.4.26. «Dette er nå bekreftet fjernkjøring av kode med brukbar minneavsløring, ikke bare et krasj etterfulgt av en mistenkelig prosess», skrev han, ifølge BleepingComputer. Marcus Hutchins, trusseletterforsker hos Expel, hadde fulgt påstander om vellykkede angrep og kalte dette «den desidert beste bekreftelsen på utnyttelse av php2shell ute i det fri jeg har sett så langt». Fram til da hadde Cloudflare, watchTowr, Patchstack og andre sikkerhetsselskaper bare loggført mislykkede forsøk, mens Amazons etterretningsteam for trusler hadde sett skanningen begynne fire dager før oppdateringene ble publisert.

Ingen av resultatene betyr at alle uoppdaterte servere blir rammet i morgen. Nøkkelen KillaBoi hentet ut, samsvarte ikke med lommebokadressen nettstedet hadde oppgitt. Arrangøren kalte det en feil i oppsettet og sa at pengene skulle overføres, ifølge Cointelegraph, og sikkerhetsnettstedet Cyberpress påpeker at de offentlige bevisene viser at en nøkkel ble hentet ut, ikke at premien ble stjålet. Den publiserte utnyttelseskoden er dessuten tilpasset én bestemt PHP-versjon og fungerer ikke mot andre utgaver av samme versjon. Den er altså ikke et verktøy hvem som helst kan bruke med et klikk. Det som er borte, er argumentet om at ingen har fått det til å fungere.

Sårbarheten berører hele verden. Offentlige etater i Nederland, Australia, Japan og Finland tok kritiske nettsteder offline mens oppdateringene ble klargjort, rapporterte Cointelegraph. En opptelling på Shodan utført av sikkerhetsselskapet Mallory fant rundt 884 000 internettilgjengelige verter som oppga en PHP-versjon som ikke lenger får offisielle sikkerhetsoppdateringer. Det tilsvarer 59 prosent av de omtrent 1,5 millionene som oppgir en versjon, ifølge Notebookcheck. Dette er opptellinger basert på versjonsbannere, ikke bekreftede ofre, ettersom Linux-distribusjoner ofte oppdaterer gamle pakker uten å endre versjonsnummeret.

For nettstedseiere er løsningen den samme som før. De oppdaterte versjonene er PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. De ble publisert 21. oktober for CVE-2026-109618 og CVE-2026-109619, som begge har fått en alvorlighetsgrad på 9,2 av 10. På et delt webhotell kommer oppdateringen fra webhotellet, ikke gjennom en oppdatering av WordPress eller et programtillegg. Derfor bør du spørre leverandøren hvilken PHP-versjon nettstedet ditt kjører, og når den ble oppdatert. Det amerikanske cybersikkerhetsorganet CISA har bedt organisasjoner som ikke kan oppdatere, eller fortsatt bruker PHP 8.1 eller eldre, om å ta systemene sine offline fram til de kan oppdatere.

Den neste utfordringen er allerede her. Fredag publiserte PHP-teamet en midlertidig løsning for en tredje sårbarhet for fjernkjøring av kode, CVE-2026-115560. Den har foreløpig ingen sikkerhetsoppdatering og berører bare systemer «med en uvanlig kombinasjon av konfigurasjon og applikasjonskode». Inntil en løsning er klar, anbefaler PHP-utviklerne å slå av innstillingen session.upload_progress – det samme tiltaket de anbefalte før PHP2Shell-oppdateringene. Sikkerhetsstøtten for PHP 8.2 avsluttes 31. desember 2026, og serverne som aldri forlot 8.1, har allerede passert sluttdatoen for sin støtte.

Tagger: cybersikkerhet, bitcoin, Perplexity, PHP, PHP2Shell, WordPress