Hackare knäckte PHP-server med bitcoin för 2 000 dollar som bete på 19 timmar

En server med en ooppdaterad version av PHP lämnades uppkopplad med en bitcoinplånboksnyckel som lockbete – men höll inte ens ett dygn. En forskare som använder aliaset KillaBoi tog sig in genom PHP2Shell, de två kritiska sårbarheterna i språket bakom större delen av webben, och hämtade ut nyckeln. Samma helg registrerade en honeypot, som drivs av en säkerhetschef på Perplexity, en angripare som gjorde samma sak mot en riktig server. Därmed faller den bekväma teorin att buggarna var för svårhanterliga för att någon skulle kunna utnyttja dem.

Det här spelar roll för alla som driver en webbplats och för alla vars data finns på en. PHP ligger till grund för WordPress, Drupal, Joomla och merparten av webbhotellen med delad hosting. Sårbarheterna kan låta någon utan konto köra kommandon på servern. Sedan säkerhetsuppdateringarna släpptes har det främsta argumentet för att vänta varit att offentliga attackförsök hela tiden misslyckats. De här två resultaten slår undan det argumentet.

Utmaningen, med namnet Steal My Bitcoin, publicerades på en egen webbplats och presenterades i ett foruminlägg. Skaparen, som skrev under namnet cloudlandsdev, skrev: ”Jag gjorde det här eftersom jag är nyfiken på om någon där ute har kommit på hur man faktiskt utnyttjar den här PHP-sårbarheten för fjärrkodskörning. Vi har tillbringat de senaste dagarna med att få panik. Ha så kul!” Potten började på omkring 502 dollar och växte genom donationer till 0,02511679 BTC, motsvarande 2 021,22 dollar när den hämtades ut, ungefär 19 timmar efter att utmaningen lanserats, enligt Tom’s Hardware. Servern dukade under för trafiken från alla som försökte, och det begränsade lagringsutrymmet innebar att alla loggar inte kunde sparas.

KillaBoi publicerade sedan ett proof of concept på GitHub. Mark Maunder, grundare av Wordfence, ett företag inom WordPress-säkerhet, kallade genomgången ”den överlägset bästa förklaringen du kommer att se till hur svårt #php2shell är att utnyttja” och pekade på hur mycket precisionsarbete attacken krävde. Men svårt betydde, som det visade sig, inte långsamt.

Det mer oroande resultatet kom utanför utmaningen. Adel Karimi, chef för detektion och incidenthantering på Perplexity, uppgav att hans honeypots fångat en bekräftad fjärrkodskörning mot en Apache-server med PHP 8.4.26. ”Nu är det bekräftat att fjärrkodskörning är möjlig och att användbar minnesinformation kan läsas ut – det handlar inte bara om en krasch följd av en misstänkt process”, skrev han, enligt BleepingComputer. Marcus Hutchins, hotforskare på Expel, som hade följt uppgifter om lyckade attacker, kallade det ”utan tvekan den starkaste bekräftelsen hittills på att php2shell utnyttjas ute i verkligheten”. Fram till dess hade Cloudflare, watchTowr, Patchstack och andra säkerhetsföretag bara loggat misslyckade försök, medan Amazons hotunderrättelseteam hade sett skanningen börja fyra dagar innan säkerhetsuppdateringarna släpptes.

Inget av resultaten betyder att alla ooppdaterade servrar faller i morgon. Nyckeln som KillaBoi hämtade stämde inte med plånboksadressen som webbplatsen hade angett. Arrangören kallade det ett misstag i upplägget och sade att pengarna skulle överföras, enligt Cointelegraph. Säkerhetssajten Cyberpress påpekar också att de offentliga beläggen visar att en nyckel hämtats ut, inte att prispotten stulits. Den publicerade exploiten är dessutom anpassad för en specifik PHP-version och fungerar inte mot andra byggen av samma version, så det är inget verktyg som vem som helst kan använda med ett klick. Det som inte längre håller är argumentet att ingen har lyckats få det att fungera.

Sårbarheten berör hela världen. Myndigheter i Nederländerna, Australien, Japan och Finland tog ned kritiska webbplatser medan säkerhetsuppdateringarna förbereddes, rapporterade Cointelegraph. En Shodan-räkning från säkerhetsföretaget Mallory hittade omkring 884 000 internetanslutna värdar som uppgav en PHP-version som inte längre får officiella säkerhetsuppdateringar. Det motsvarar 59 procent av de omkring 1,5 miljoner värdar som visar en sådan version, enligt Notebookcheck. Det handlar om versionsuppgifter i serverbanners, inte bekräftade offer, eftersom Linuxdistributioner ofta säkerhetsuppdaterar gamla paket utan att ändra versionsnumret.

För webbplatsägare är lösningen densamma som tidigare. De uppdaterade versionerna är PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. De publicerades den 21 oktober för CVE-2026-109618 och CVE-2026-109619, som båda fått betyget 9,2 av 10. På delad hosting är det webbhotellet som installerar uppdateringen, inte en uppdatering av WordPress eller ett tillägg. Den användbara frågan till leverantören är därför vilken PHP-version webbplatsen kör och när den säkerhetsuppdaterades. Den amerikanska cybersäkerhetsmyndigheten CISA har uppmanat organisationer som inte kan uppdatera, eller fortfarande använder PHP 8.1 eller äldre, att koppla ned systemen tills de kan göra det.

Nästa problem är redan här. I fredags publicerade PHP-teamet en tillfällig lösning för en tredje sårbarhet för fjärrkodskörning, CVE-2026-115560. Den har ännu ingen säkerhetsuppdatering och påverkar bara system ”med en ovanlig kombination av konfiguration och applikationskod”. Tills en uppdatering släpps rekommenderar PHP:s utvecklare att inställningen session.upload_progress stängs av – samma åtgärd som de rekommenderade innan PHP2Shell-uppdateringarna kom. Säkerhetsstödet för PHP 8.2 upphör den 31 december 2026, och servrarna som aldrig lämnade 8.1 har redan passerat slutdatumet för sitt stöd.

Taggar: cybersäkerhet, bitcoin, Perplexity, PHP, PHP2Shell, WordPress