Hacker knækkede PHP-server med bitcoin for 2.000 dollar som lokkemad på 19 timer

En server med en uopdateret PHP-installation, som var sat online med en bitcoin-walletnøgle indeni som lokkemad, holdt mindre end et døgn. En forsker, der bruger aliaset KillaBoi, brød ind via PHP2Shell, de to kritiske sårbarheder i sproget bag størstedelen af nettet, og hentede nøglen ud. Samme weekend registrerede en honeypot, der drives af en sikkerhedschef hos Perplexity, en angriber, som gjorde det samme mod en rigtig server. Dermed falder den bekvemme teori om, at fejlene var for besværlige til, at nogen kunne udnytte dem.

Det er vigtigt for alle, der driver et website, og for alle, hvis data ligger på et. PHP ligger til grund for WordPress, Drupal, Joomla og størstedelen af webhoteller med delt hosting, og disse sårbarheder kan gøre det muligt for en person uden en konto at køre kommandoer på serveren. Siden rettelserne blev udsendt, har det vigtigste argument for at vente været, at offentligt kendte angrebsforsøg blev ved med at mislykkes. Begge resultater gør det argument til skamme.

Udfordringen, der blev kaldt Steal My Bitcoin, blev lagt ud på sit eget website og annonceret i et forumindlæg. Skaberen, der skrev under navnet cloudlandsdev, skrev: “Made this because I’m curious if anyone out there has figured out how to actually use this PHP RCE, we spent the last few days panicking. Have fun!” Puljen begyndte på omkring 502 dollar og voksede gennem donationer til 0,02511679 BTC, svarende til 2.021,22 dollar, da den blev gjort krav på omkring 19 timer efter lanceringen, ifølge Tom’s Hardware. Serveren brød sammen under trafikken fra folk, der forsøgte sig, og den begrænsede lagerplads betød, at den ikke kunne gemme alle sine logfiler.

KillaBoi offentliggjorde derefter en proof of concept på GitHub. Mark Maunder, grundlægger af WordPress-sikkerhedsfirmaet Wordfence, kaldte gennemgangen “the absolute best explanation you’ll see on how hard #php2shell is to exploit” og henviste til, hvor meget præcist arbejde angrebet krævede. Svært betød åbenbart ikke langsomt.

Det mere bekymrende resultat kom uden for spillet. Adel Karimi, chef for detektion og respons hos Perplexity, sagde, at hans honeypots havde fanget en bekræftet fjernudførelse af kode mod en Apache-server med PHP 8.4.26. “This is now confirmed RCE with usable memory disclosure, not just a crash followed by a suspicious process,” skrev han, som BleepingComputer rapporterede. Expels trusselsforsker Marcus Hutchins, der havde fulgt påstande om vellykkede angreb, kaldte det “by far the highest quality confirmation of in-the-wild php2shell exploitation I’ve seen so far.” Indtil da havde Cloudflare, watchTowr, Patchstack og andre sikkerhedsfirmaer kun registreret mislykkede forsøg, mens Amazons trusselsinformationsteam havde set scanninger begynde fire dage før, rettelserne blev udsendt.

Ingen af resultaterne betyder, at alle uopdaterede servere falder i morgen. Nøglen, KillaBoi hentede, passede ikke til den walletadresse, websitet havde oplyst; arrangøren kaldte det en fejl i opsætningen og sagde, at pengene ville blive overført, ifølge Cointelegraph, og sikkerhedssitet Cyberpress bemærker, at de offentlige beviser viser, at en nøgle blev hentet, ikke at præmien blev stjålet. Den offentliggjorte udnyttelse er desuden tilpasset én bestemt PHP-build og virker ikke mod andre builds af samme version, så det er ikke et værktøj, man kan bruge med et enkelt klik. Det forsvar, der er væk, er påstanden om, at ingen har fået det til at virke.

Risikoen er global. Regeringsmyndigheder i Nederlandene, Australien, Japan og Finland tog kritiske websites offline, mens rettelserne blev klargjort, rapporterede Cointelegraph. En optælling på Shodan foretaget af sikkerhedsfirmaet Mallory fandt omkring 884.000 internetvendte værter, der oplyste en PHP-version, som ikke længere får officielle rettelser. Det er 59 % af de cirka 1,5 millioner, der afslører en PHP-version, ifølge Notebookcheck. Tallene bygger på servernes bannere og er ikke bekræftede ofre, fordi Linux-distributioner ofte retter gamle pakker uden at ændre versionsnummeret.

For websiteejere er løsningen uændret. De opdaterede versioner er PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35, som blev offentliggjort den 21. oktober for CVE-2026-109618 og CVE-2026-109619, der begge har fået en vurdering på 9,2 ud af 10. Ved delt hosting kommer opdateringen fra udbyderen, ikke fra en opdatering af WordPress eller et plugin, så det nyttige spørgsmål til udbyderen er, hvilken PHP-build websitet kører, og hvornår den blev opdateret. Den amerikanske cybersikkerhedsmyndighed CISA har bedt organisationer, der ikke kan opdatere, eller som stadig bruger PHP 8.1 eller ældre, om at tage systemerne offline, indtil de kan opdatere.

Det næste problem er allerede dukket op. Fredag offentliggjorde PHP-teamet en midlertidig løsning på en tredje sårbarhed, der giver mulighed for fjernudførelse af kode, CVE-2026-115560. Der findes endnu ingen rettelse, og sårbarheden påvirker kun systemer “with an unusual combination of configuration and application code.” Indtil der kommer en rettelse, anbefaler PHP-udviklerne at slå indstillingen session.upload_progress fra, det samme skridt som de anbefalede før PHP2Shell-rettelserne. Sikkerhedsunderstøttelsen af PHP 8.2 ophører den 31. december 2026, og de servere, der aldrig kom væk fra 8.1, har allerede overskredet deres slutdato.

Tags: cybersikkerhed, bitcoin, Perplexity, PHP, PHP2Shell, WordPress