Ledande profiler inom cybersäkerhet slår larm efter att två omfattande sårbarheter upptäckts i programmeringsspråket PHP, vilket påverkar miljontals webbplatser världen över. Händelsen, som fått namnet ”Black October”, har exponerat fundamentala svagheter i den globala internetinfrastrukturen. Sårbarheterna, som officiellt betecknas som PHP2Shell (CVE-2026-109618 och CVE-2026-109619), gör det möjligt för angripare att ta full kontroll över drabbade system utan lösenord eller autentisering. Enligt experter kan upp till 70 procent av alla webbplatser på internet ha varit i riskzonen, inklusive stora plattformar som WordPress och Wikipedia.
Det har nu framkommit att sårbarheterna inte är nya, utan har existerat i PHP under flera decennier utan att upptäckas. De identifierades av säkerhetsforskare vid University of California som en del av initiativet ”Hack the Planet”, drivet av OpenAI och Wiz. AI-verktyg användes för att hjälpa till med exploateringen, vilket väckt oro för att tekniken nu möjliggör identifiering av säkerhetshål i en skala som saknar motstycke. Sam Altman och Salesforce VD Marc Benioff beskriver situationen som ett ”code red”, medan Jason Clinton från Anthropic varnar för en kommande ”vulnerability tsunami” där tiden inte kommer att räcka till för att patcha kritisk infrastruktur.
Uppgifter visar nu att sårbarheterna var kända för vissa sedan augusti i år och att PHP Foundation arbetat med en uppdatering som var planerad att släppas först i slutet av oktober. Information om bristerna läckte dock ut i förtid efter att vissa säkerhetsbolag, däribland Chainguard, valt att publicera egna uppdateringar och därmed röja hålen. Chainguards VD Dan Lorenc uppger att luckan redan diskuterats på onlineforum och att företaget själva kunde identifiera sårbarheterna genom att använda en AI-modell.
Angreppsförsök har redan inletts i stor skala. Cloudflares VD Matthew Prince uppger att antalet försök att utnyttja bristerna steg från tusentals till miljontals kort efter att upptäckten offentliggjorts. Amazon rapporterar dessutom att exploatering upptäcktes redan en vecka innan patcharna släpptes. Som ett resultat har banker, sjukhus och myndigheter i bland annat USA och Storbritannien tillfälligt tagit ner webbplatser för att installera säkerhetsuppdateringar. USA:s nationella säkerhetsmyndighet NSA har krävt omedelbara åtgärder för att förhindra datastölder och tjänsteavbrott.
