AI gjorde det mulig å bygge exploit av gammel PHP-svakhet, sier sikkerhetsselskaper

AI gjorde det mulig å bygge exploit av gammel PHP-svakhet, sier sikkerhetsselskaper

To kritiske sikkerhetshull i PHP – samlet kalt PHP2Shell – ble avslørt og tettet onsdag 21. oktober 2026, etter at detaljer lekket dagen før. Svakhetene, med alvorlighetsgrad 9,2 av 10, skal ifølge rapporteringen ha ligget skjult i kodebasen i over et tiår. Det som forandret seg, var ikke selve feilen, men kostnaden ved å gjøre den om til et fungerende angrep: Ifølge sikkerhetsselskapene bak funnet var det moderne AI-modeller som gjorde det mulig å bygge et ekte exploit – og i løpet av timer etter kunngjøringen meldte Cloudflare om millioner av forsøk på å utnytte dem.

Hva PHP2Shell er

De to sårbarhetene, registrert som CVE-2026-109618 og CVE-2026-109619, ligger i delene av PHP som nesten enhver forespørsel berører: minnehåndtering og feilhåndtering. Til sammen kan de ifølge rapporteringen potensielt gi angripere mulighet til å kjøre kode uten autentisering og lese minne som kan inneholde sensitiv informasjon som passord (4989a813, e23ab1d3).

Siden PHP ligger under en svært stor andel av nettets dynamiske sider – Wiz-forskerne beskrev språket som «en ryggrad i nettet» – rakte rekkevidden av feilen langt utover utviklermiljøet.

Hvem fant hullene – og med hva

Ifølge AFPs rapportering fant sikkerhetsselskapet Calif svakhetene i august i år, ved hjelp av OpenAIs modell GPT-5.6 Sol, som en del av en OpenAI-finansiert revisjon av PHP-koden. OpenAI selv kalte funnet «en ny fase, der AI kan finne sikkerhetshull med internett-skala innvirkning» (2a995d35).

Uker senere fant sikkerhetsselskapet Wiz svakhetene uavhengig, også det ifølge selskapet selv med hjelp av AI-modeller, inkludert Gemini 4 Argon og GPT-5.6 Sol. Det skal understrekes at modellnavnene så langt bare er kjent gjennom sekundær rapportering og ikke kan etterprøves mot primærkilder.

Wiz-forskerne skrev i en bloggpost onsdag at «det AI forandret, var evnen til å forstå svakhetene og gjøre dem om til et fungerende exploit», og at «med frontier-modeller og de riktige verktøyene fullførte én forsker på en uke det tidligere ville krevd måneder med arbeid for et verdensklasse-team» (e23ab1d3). Det er selskapets egen vurdering, ikke en uavhengig verifisert fasit.

Hvorfor feilen lå ubrukt i årevis

Det mest oppsiktsvekkende ved PHP2Shell er kanskje ikke funnet, men historien bak. Calif sporet i sin tekniske artikkel en beslektet svakhet tilbake til 2004, da sikkerhetsforsker Stefan Esser påviste et lignende problem i PHP knyttet til utmattet minne. I 2020 ble en beslektet feilrapport sendt inn – og ble nesten ignorert. I 2024 støtte en tredjepartsfinansiert sikkerhetsgjennomgang av PHP på samme problemområde, men det ble aldri fikset, fordi ingen klarte å bevise at det faktisk kunne utnyttes (0862c340).

PHP-stiftelsen innrømmer selv at egne utviklere første gang fikk øye på tegn til problemet under en ekstern revisjon i 2024. Et teoretisk exploit ble skissert, men uten en konkret angrepsvei – og med et svært lite kjernteam som måtte veie kostnaden ved en omfattende fiks mot usikker gevinst – stoppet arbeidet opp, for så å gjenopptas og stagnere gjennom måneder. Stiftelsen kaller den utsatte fikselsen «en strukturell svikt» (4989a813).

Uavhengig forfatter Nick Rogers, sitert i omtalen av analysen, peker på mekanismen: å gjøre denne typen sårbarhet om til et brukbart exploit krever tradisjonelt «uker med kjedelig manuell feilsøking», og tidligere var ingen villige til å betale den prisen (0862c340). Det er denne kostnaden AI i praksis kollapset – ifølge selskapene. Svakheten selv er to tiår eldre enn moderne språkmodeller, og påstanden om at AI var strengt tatt nødvendig er Wiz' og partneres ramme, ikke et bevist faktum.

Lekkasjen og den fremskyndede fikselsen

PHP-stiftelsen hadde planlagt å slippe oppdateringene torsdag. Men nyheten om sårbarhetene lekket først i nettfora, og deretter fra Calif selv, som ved et uhell la ut en video tirsdag som demonstrerte en hel exploit-kjede (ab992636). Stiftelsen valgte deretter å slippe oppdateringene omtrent 24 timer tidligere enn planlagt, onsdag 21. oktober klokken 10 amerikansk østtid.

Det var altså ikke den planlagte, koordinerte avsløringen som satte i gang klokken, men en lekkasje – et mønster som ofte gjør situasjonen farligere, fordi forsvarerne har mindre forsprang enn angriperne.

Timer med millioner av forsøk

Reaksjonen kom raskt. Matthew Prince, administrerende direktør i Cloudflare, opplyste natt til torsdag at selskapet registrerte titusenvis av utnyttelsesforsøk i løpet av de første 45 minuttene etter kunngjøringen, til voksende «hundretusener innen to timer, og millioner nå» (21994a11).

Det fantes også aktivitet rundt sårbarheten før den offisielle avsløringen. Ifølge rapporteringen opplyser Amazon Threat Intelligence at selskapet observerte et utnyttelsesforsøk allerede 17. oktober, mens informasjonen fortsatt var under embargo. Overvåkingsfirmaet VulnCheck opplyser at selskapets honeypots fanget opp sondering og minst ett utnyttelsesforsøk fra en IP-adresse i Kina, rettet mot CVE-2026-109618 – feilen som potensielt lar en angriper kjøre uautorisert kode. Forsøket mislyktes med en 404-feil (c27c64ba).

Hvor alvorlig var det egentlig? Et uavklart bilde

Her spriker kildene, og det er verdt å sitere dem alle:

• Elizabeth Barron, administrerende direktør i PHP-stiftelsen, sa til CNBC onsdag ettermiddag at organisasjonen «overvåker situasjonen nøye», men at det foreløpig ikke finnes «bevis på noen fungerende exploits, bare ufullstendige, misvisende og ikke-fungerende genererte» (ab992636).
• Matt Suiche, sikkerhetsforsker ved selskapet Tolmo, hevdet derimot ifølge CNBC at teamet hans hadde kodet et fungerende exploit på under en dag, med hjelp av AI (ab992636).
• Amazon Threat Intelligence har ifølge rapporteringen hevdet at PHP2Shell blir «bredt utnyttet i naturen» (21994a11).
• Ryan Austin, forsker ved Calif som var sentral i oppdagelsen, sa: «Foreløpig ser det ikke ut som utnyttelsen har tatt av eller er utbredt» (21994a11).

Forskjellen handler delvis om hva som måles. Cloudflares milliontall er forsøk – trafikk som ser ut som utnyttelsesforsøk. Det er ikke det samme som bekreftede innbrudd. Hvor mange av forsøkene som lyktes, og hvorvidt noen systemer ble kompromittert før oppdateringen var tilgjengelig, er fortsatt ukjent. Det er det mest åpne – og ubehagelige – spørsmålet som gjenstår i denne saken.

Hva nettstedsoperatører bør gjøre

Det konkrete rådet er uproblematisk: oppdater PHP-servere til de patchede versjonene så raskt som mulig. Selv om bevisene på vellykkede angrep foreløpig mangler, er forsøksvolumet alene nok til at ubevegelige servere er attraktive mål. Operatører som ikke kan oppdatere umiddelbart, bør vurdere om PHP-tjenester i det hele tatt trenger å stå åpent mot internett mens fiksene rulles ut.

Det større mønsteret

PHP2Shell illustrerer noe som kan bli et gjentakende mønster i sikkerhetsarbeidet fremover. Selve sårbarheten var teoretisk kjent i årevis – skissert i en revisjon i 2024, med røtter i forskning fra 2004. Det som manglet, var ikke kunnskapen, men en økonomisk rasjonell vei fra «muligens utnyttbar» til «utnyttbar». Den veien var tidligere så kostbar at ingen tok den – hverken forsvarere eller angripere. Når én forsker med språkmodeller ifølge Wiz kan fullføre reisen på en uke, endres kalkylen for alle parter samtidig.

Konsekvensen er at vinduet mellom «teoretisk sårbarhet» og «virkelig våpen» trolig krymper. For programvareprosjekter betyr det at argumentet «ingen har bevist at dette kan utnyttes» blir svakere for hvert år – det kan noen bevise raskt, og til en lav pris. For de mange serverne som fortsatt ikke er patchet, er den pratisk viktige lærdommen enklere: teoretiske hull lenger ute på tidslinjen kan komme tilbake som praktiske angrep raskere enn noen har regnet med.

Så lenge uenigheten mellom PHP-stiftelsen, Amazon og Calif om faktisk utnyttelse forblir uløst, er det ærlige svaret på spørsmålet om dataene dine er rammet: kanskje, og ingen vet det sikkert ennå.