Viime viikolla paljastuneet vakavat PHP-haavoittuvuudet ovat käynnistäneet laajan hyökkäysaallon. Tietoturvayhtiö Check Pointin mukaan jo joka kymmenes organisaatio maailmassa on joutunut PHP2Shell-haavoittuvuuksiin kohdistuvien hyökkäysyritysten kohteeksi. Euroopassa osuus on vielä suurempi, 14 prosenttia.
Check Point Researchin 22. lokakuuta julkaiseman seurannan mukaan PHP2Shell-hyökkäysyritykset ovat kohdistuneet Eurooppaan yli kaksi kertaa voimakkaammin kuin Pohjois-Amerikkaan tai Aasiaan. Molemmilla alueilla hyökkäysyrityksiä on havaittu kuudessa prosentissa organisaatioista. Luvut perustuvat Check Pointin omaan uhkaseurantaan, eivätkä ne tarkoita, että hyökkääjät olisivat onnistuneet murtautumaan kyseisiin järjestelmiin.
Euroopan tilanne on poikkeuksellisen vakava. Unkarissa hyökkäysyritysten kohteeksi on joutunut 38 prosenttia organisaatioista, Tanskassa 32 prosenttia ja Itävallassa 28 prosenttia. Ruotsissa osuus on 22 prosenttia ja Saksassa 16 prosenttia. Maailman 18 pahiten kärsineestä maasta peräti 16 sijaitsee Euroopassa.
Suomen osalta Check Point ei ilmoita vastaavaa prosenttilukua. Yhtiön mukaan Suomessa ja Alankomaissa viranomaiset ovat kuitenkin sulkeneet joitakin verkkosivustojaan varotoimena haavoittuvuuksien vuoksi.
Hyökkäysten kohteena ovat erityisesti teleoperaattorit ja tietoliikenneala, jossa hyökkäysyrityksiä on havaittu 20 prosentissa organisaatioista. Koulutuksessa osuus on 18 prosenttia ja media-alalla 16 prosenttia. Myös ohjelmistoyritykset ja terveydenhuolto ovat joutuneet hyökkäysten kohteiksi.
PHP2Shell-nimellä tunnetut haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619 sijaitsevat suoraan PHP-tulkissa. Ne voivat mahdollistaa haitallisen koodin suorittamisen palvelimella ilman käyttäjätunnuksia tai salasanoja. Haavoittuvuudet koskevat siten laajaa joukkoa verkkosivustoja, verkkokauppoja ja muita palveluita, joiden taustalla käytetään PHPä.
Tilannetta pahentaa se, että tiedot haavoittuvuuksista vuotivat julkisuuteen ennen suunniteltua julkaisua. Check Pointin mukaan verkossa on jo levinnyt kuvakaappauksia PHP2Shell-hyökkäystyökalusta. Hyökkäysyritysten määrä kasvaa erityisesti keskiyön tunteina, jolloin tietoturvavalvonta saattaa olla vähäisempää.
Tietoturvayhtiö Surfsharkin tietoturvajohtaja Tomas Stamulis pitää mahdollisena, että hyökkääjät ovat hyödyntäneet haavoittuvuuksia jo ennen niiden julkistamista. Erityisen vaikeaa mahdollisten aiempien murtojen selvittäminen on organisaatioissa, joissa palvelinten tapahtumia ei ole lokitettu tai valvottu riittävästi.
Tietoturvayhtiöt näkevät PHP2Shellissä myös esimerkin tekoälyn muuttamasta uhkatilanteesta. Fortinetin mukaan kriittisen haavoittuvuuden löytymisestä sen hyväksikäyttöön kuluva aika on joissakin tapauksissa lyhentynyt muutamaan tuntiin. Yhtiö ennustaa, että tekoälyn avulla aika voi tulevaisuudessa kutistua jopa minuutteihin.
Check Pointin tietoturvajohtaja Alex Spokoiny vertaa tilannetta vuoden 2021 Log4Shell-kriisiin. Hänen mukaansa tekoäly voi nopeuttaa haavoittuvan ohjelmakoodin analysointia ja toimivan hyökkäyskoodin kehittämistä. Kun hyökkäysmenetelmä on valmis, automatisoidut työkalut pystyvät etsimään haavoittuvia palvelimia laajassa mittakaavassa.
PHP2Shell-haavoittuvuuksiin on jo julkaistu korjaukset PHP-versioissa 8.2.35, 8.3.36, 8.4.27 ja 8.5.12. Pelkkä WordPressin tai muun sisällönhallintajärjestelmän päivittäminen ei kuitenkaan riitä, sillä haavoittuvuudet sijaitsevat PHP-tulkissa. Myös itse palvelinympäristön PHP-versio on päivitettävä.
Check Point muistuttaa lisäksi, ettei korjauspäivityksen asentaminen poista mahdollisen aiemman tietomurron seurauksia. Palvelimilta on siksi syytä etsiä myös merkkejä luvattomista muutoksista, epäilyttävistä PHP-tiedostoista ja poikkeavasta verkkoliikenteestä.
