Sådan blev én PHP-fejl til ransomware på under to døgn

I juni 2024 udkom en rettelse til PHP med nummeret CVE-2024-4577. Fejlen ramte PHP på Windows i CGI-tilstand og gjorde det muligt at køre kode på serveren udefra. Den var i virkeligheden en omgåelse af en fejl, der blev rettet tilbage i 2012.

Fra rettelse til angreb

Rettelsen kom i PHP 8.3.8, 8.2.20 og 8.1.29. Mindre end 48 timer senere begyndte ransomwaregruppen TellYouThePass at udnytte fejlen mod servere, der ikke var opdateret. Den amerikanske cybersikkerhedsmyndighed CISA satte sårbarheden på sin liste over kendte, udnyttede sårbarheder og noterede, at den blev brugt i ransomwarekampagner.

Angrebene stoppede ikke, da nyheden var gammel. Cisco Talos beskrev i 2025 en kampagne mod japanske organisationer, der havde stået på siden januar 2025, hvor fejlen blev brugt til at stjæle adgangskoder og tage kontrol over serverne. GreyNoise talte alene i januar 2025 mere end 1.000 forskellige IP-adresser, der forsøgte at udnytte den.

Hvad vi lærer af det

• Tidsvinduet er dage, ikke måneder. Angriberne læser de samme rettelsesnoter som os og handler med det samme.
• Gamle fejl kommer igen. En omgåelse af en 12 år gammel rettelse viser, at "det har vi rettet" ikke holder for evigt.
• Opdateringer er sikkerhed. Den eneste beskyttelse mod netop denne fejl var at opdatere PHP. Firewall og antivirus hjalp ikke.

Det gør vi for vores kunder

Vi overvåger, hvilke versioner der kører på jeres servere, og vi opdaterer, når der kommer sikkerhedsrettelser, ikke når det passer ind i kalenderen. Kører I PHP på Windows, tjekker vi særligt, om CGI-tilstand er slået til, for det er den sjældent nødvendig. Er I i tvivl, så ring, så kigger vi på jeres opsætning.

Kilder

• CVE-2024-4577, NVD, NIST.
• Known Exploited Vulnerabilities Catalog, CISA.
• Critical PHP RCE vulnerability mass exploited in new attacks, BleepingComputer, marts 2025.