PHP2Shell: exploateringsförsök och akut uppmaning att uppdatera
Två kritiska sårbarheter i PHP har lett till ett blixtmeddelande från CERT-SE och rapporter om breda exploateringsförsök. Bristerna, CVE-2026-109618 och CVE-2026-109619, kan möjliggöra kodkörning utan inloggning och fördes den 26 oktober in i CISA:s katalog över kända exploaterade sårbarheter. De gäller minneskorruption respektive kvarvarande internt tillstånd från tidigare förfrågningar. För verksamheter med PHP-baserade webbapplikationer är uppdatering och kontroll av systemen därmed centrala frågor.
Amazon rapporterar att företagets sensorer registrerade försök redan den 17 oktober, före offentliggörandet, och ytterligare försök den 21 oktober. Efter att detaljerna blivit offentliga såg bolaget breda exploateringsförsök. Amazon betonar samtidigt att det är oklart om försöken mot sensorerna skulle ha lyckats mot verkliga system. Säkerhetsvärlden har tidigare rapporterat om hur myndigheter stängt webbplatser efter PHP-bristerna.
CERT-SE rekommenderar att organisationer identifierar sina PHP-applikationer, uppdaterar skyndsamt och undersöker systemen efter tecken på intrång. Rättade versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Om uppdatering inte är möjlig rekommenderar CERT-SE att internetexponerade PHP-applikationer isoleras från publika nätverk. Behovet av återkommande säkerhetstester efter bland annat PHP-bristerna tas också upp i Säkerhetsvärldens intervju med Mikael Karlgren om säkerhetstestning.
GitLab rättar kritisk brist som kan ge kodkörning
GitLab har publicerat säkerhetsuppdateringar för en sårbarhet i Community Edition och Enterprise Edition med högsta CVSS-poängen, 10,0. Bristen, CVE-2026-110264, kan under vissa förhållanden låta en angripare köra godtycklig kod på GitLab-servern utan att vara inloggad. Enligt GitLabs säkerhetsmeddelande uppstår problemet genom ett heltalsöverspill när särskilt utformade reguljära uttryck kompileras.
Berörda versionsintervall sträcker sig tillbaka till GitLab 7.0. Rättningar finns i versionerna 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 och 18.11.13. GitLab uppger att GitLab.com och GitLab Dedicated redan är uppdaterade. För organisationer som själva administrerar sina GitLab-installationer är det däremot den egna servermiljön som behöver åtgärdas.
CERT-SE uppmanar organisationer att följa leverantörens instruktioner, uppgradera snarast och söka efter avvikande beteenden. GitLab har också publicerat två detektionsregler för egenadministrerade installationer, inriktade på krascher i Onigmo-komponenten och fel vid rendering i Org-läge.
VeloCloud-brist utnyttjas för att höja behörigheter
Arista varnade den 22 oktober för en aktivt utnyttjad sårbarhet i VeloCloud Orchestrator, den centrala administrationskomponenten för VeloCloud-miljöer. Bristen, CVE-2026-114625, kan låta en autentiserad användare få operatörsprivilegier och uppträda som en lokal superuser-operatör. Arista klassar den till 9,9 på CVSS-skalan. Den 23 oktober lades den även till i CISA:s katalog över kända exploaterade sårbarheter.
Enligt Aristas säkerhetsmeddelande berörs versionsgrenarna 5.2.x före 5.2.3.18, 6.1.x före 6.1.3.10 och 6.4.x före 6.4.2.12. Även leverantörsdrivna och dedikerade värdmiljöer var berörda, men hade enligt bolaget redan uppdaterats. För svenska organisationer och tjänsteleverantörer som använder produkten gäller frågan därmed både vilken version som körs och vem som ansvarar för installationen.
eMudhra lämnar TLS-marknaden efter svaga certifikatnycklar
Certifikatutfärdaren eMudhra meddelade den 22 oktober att bolaget ska lämna den globala verksamheten för SSL/TLS-certifikat. Beslutet kom efter upptäckten av åtta kryptografiskt svaga nycklar hos mellanliggande certifikatutfärdare. Sådana utfärdare ingår i tillitskedjan för webbcertifikat. Enligt Reuters har stora webbläsarleverantörer slutat lita på berörda certifikat.
I en uppdatering den 26 oktober uppgav eMudhra att ett skriptfel hade lett till de svaga nycklarna. Enligt bolagets utredning hade de berörda mellanliggande utfärdarna inte utfärdat några publikt betrodda slutanvändarcertifikat. Bolaget uppger också att dess infrastruktur och kunddata inte hade utsatts för intrång. De åtta mellanliggande certifikaten återkallades enligt eMudhra inom 14 timmar efter att problemet bekräftats.
eMudhra erbjuder kunder alternativa certifikat från Sectigo och uppger att flytten sker utan kostnad. I beskedet om avvecklingen säger bolaget att tjänster för återkallande och certifikatstatus ska fortsätta tills alla utfärdade certifikat har löpt ut eller ersatts. Händelsen berör därmed även kunder som behöver hantera övergången från eMudhras TLS-certifikat, inte bara de svaga nycklarna.
Ny SafePay-varning beskriver angrepp och sabotage mot återställning
CISA, FBI, den amerikanska Secret Service och internationella partner publicerade den 20 oktober en gemensam varning om utpressningsgruppen SafePay. Enligt myndigheterna har minst 600 organisationer drabbats sedan augusti 2024, däribland företag och kritisk infrastruktur i Europa. Den nya varningen beskriver gruppens angreppsmetoder, indikatorer på intrång och åtgärder för att begränsa risken och följderna av angrepp.
I myndigheternas utskick beskrivs hur SafePay tar sig in med bland annat stulna inloggningsuppgifter, lösenordsattacker, nätfiske och kända sårbarheter i internetexponerade system. Gruppen kombinerar datastöld och kryptering med hot om att publicera stulna uppgifter. Den kan också försvåra återställning genom att radera skuggkopior och återställa nätverksanslutna lagringsenheter som innehåller säkerhetskopior.
Myndigheterna rekommenderar regelbundna uppdateringar, särskilt av VPN-tjänster, brandväggar och andra nätverksnära enheter, med prioritet för kända exploaterade sårbarheter. De lyfter också multifaktorautentisering, styrning av identiteter och behörigheter samt begränsning av administrativa verktyg till de användare som behöver dem. Rapporten uppmärksammades även i CERT-SE:s veckobrev.
