Ingen større udnyttelser af PHP-sårbarheder observeret.

Alvoren i situationen betød, at hundredvis af hjemmesider – herunder offentlige portaler verden over – blev taget offline som en sikkerhedsforanstaltning. Eksperter advarede om, at de "alvorlige" sårbarheder kunne udsætte millioner af hjemmesider for potentielle hackerangreb, hvis de ikke blev rettet.

Den 21. oktober udsendte PHP hasteopdateringer i versionerne 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Begge sårbarheder har en CVSS-score på 9,2 (kritisk). Organisationer opfordres kraftigt til at installere rettelserne omgående; PHP 8.1 og ældre versioner er nået til slutningen af ​​deres levetid (end-of-life) og modtager ikke længere standardopdateringer fra PHP-projektet.

“Vi har observeret scanningsaktivitet fra trusselsaktører, men der er på nuværende tidspunkt ikke tale om omfattende eller alvorlige kompromitteringer. Baseret på vores observationer er disse sårbarheder ikke lige så lette at udnytte i stor skala, som det var tilfældet med sårbarheder som Log4Shell, der muliggjorde hurtig kompromittering af et stort antal eksponerede systemer.

Selvom vi indtil videre kun har registreret et begrænset antal aktive forsøg på at udnytte PHP-sårbarhederne, kan vi ikke forudsige fremtiden. I sager med høj risiko og stor offentlig bevågenhed kan situationen ændre sig hurtigt. Vi anbefaler på det kraftigste, at sårbarhederne patches omgående, og at man forbliver årvågen.” Udtaler Leif Jensen, nordiske landechef hos ESET.