Perspektivet - Uke 43 - 2026

Denne uken er nyhetene preget av PHP-sårbarhetene, noe som begrenser antall saker. Det er en grense for hvor mange artikler om PHP, eller saker som spår verdens undergang, jeg kan ta med.

Kort fortalt: Wiz Research fant flere kritiske minnefeil i PHP, samlet under 2 CVE-er med CVSS 9.2. Feilene resulterer i remote code execution uten autentisering, og lekkasje av minne med passord, tokens og API-nøkler. Siden feilen sitter i PHP og ikke i applikasjonen, er selv en enkel «Hello World» sårbar. Alle versjoner de siste 10 årene er rammet, helt tilbake til 5.4, og PHP driver rundt 70 prosent av alle nettsider, inkludert WordPress, Drupal og Joomla. Patchen kom 21 oktober, men versjoner eldre enn 8.2 er end of life og får ingen fiks.

Et interessant aspekt er hvordan feilene ble funnet. Koden hadde ligget der i over 10 år, men å bygge en fungerende exploit krevde en så kompleks kjede av steg at det var på grensen av hva mennesker praktisk kunne få til. Wiz brukte sitt eget verktøy Atlas sammen med Gemini 4 Argon og GPT-5.6 Sol, og ifølge Wiz gjorde én forsker på en uke det som tidligere ville tatt et team i verdensklasse flere måneder.

Det føles nå som at det for hver uke som går kommer en sak som viser at kappløpet mellom patching og utnyttelse blir kortere og kortere. AI-modellene blir bedre, og sikkerhetsforskere blir flinkere til å bruke disse kapabilitetene. Det betyr også at de kriminelle blir flinkere.

The race is on!

Når får vi se et norsk selskap slippe en sak om hvordan de, gjennom bruk av AI, gjorde noe som rett og slett ikke var mulig for noen måneder siden?

Cybersikkerhet

PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet - Wiz

Sårbarheten som tok verden med storm og førte med seg uendelig med Teams-møter og overtid. Mange ledere rundt om i verden ble nok overrasket over at PHP fantes så mange steder.
Wiz har som vanlig skrevet en god gjennomgang, med teknisk dypdykk i de fire feilene, råd om deteksjon for dem som ikke kan patche med en gang, og en tidslinje for den koordinerte avsløringen.

Mirai Botnet Operators Join PHP2Shell Attacks as ASLR Bypass Exploits Emerge - SecurityWeek

Det tok ikke lang tid før de kriminelle hev seg på PHP2Shell. Amazon så de første forsøkene allerede sytten oktober, fire dager før patchen, og etter at fiksen ble sluppet tok det helt av: Cloudflare logget millioner av forsøk i løpet av det første døgnet. Sophos knytter angrepene til Potassium, en Mirai-variant.

Node2Shell evolves to HTTP2Shell. Brotli flaw (CVE-2026-111497) blast radius affects many libraries & apps using HTTPs - Aikido

Og for å ikke være dårligere dukket det samme uke opp en alvorlig sårbarhet i Node, som også brukes overalt. Feilen sitter egentlig i Googles komprimeringsbibliotek Brotli, og Aikido viser hvordan den rammer langt mer enn Node: Python, Bun, Envoy, curl og alt annet som pakker ut Brotli over HTTP. OpenAI fant feilen allerede i februar, og den ble rettet i kildekoden, men ingen versjon med fiksen ble sluppet før nå.

Rammet av datainnbrudd: – Lei oss - Nettavisen

Strømselskapet Cheap Energy oppdaget et datainnbrudd femte oktober, via en sikkerhetssvikt hos en av selskapets systemleverandører. Tyvene fikk med seg mye data om kundene, blant annet navn, adresse, telefonnummer og personnummer. Og selv om selskapet er lei seg for det som skjedde, må vi spørre oss: Hvorfor tok det så lang tid å varsle kundene, som først fikk beskjed denne uken? Og har Cheap Energy varslet Datatilsynet i tide? Saken er meldt inn, ifølge selskapet, men ikke når.

Cybercrime crackdown across Africa leads to 1,462 arrests, $105 million seized - The Record

Interpols årlige aksjon mot nettkriminalitet i Afrika, Serengeti III, endte i sommer med over 1400 arrestasjoner og beslag på over hundre millioner dollar. 20 afrikanske land deltok sammen med USA, og nesten 66 000 ofre ble identifisert. Flest arrestasjoner var det i Uganda, der politiet tok tre 365 utlendinger som drev svindel-callsentre rettet mot pensjonister i Asia.

Indian tech company eMudhra announces withdrawal from certificate business after security incident - The Record

Når en privat nøkkel er tallet fire, da har man et problem. Det var det Scott Helme fant hos den indiske sertifikatutstederen eMudhra, der åtte intermediate-sertifikater hadde svake nøkler. Med dem kunne hvem som helst utstede falske sertifikater for et hvilket som helst domene. Feilen oppsto i april 2025 og overlevde to uavhengige revisjoner i atten måneder. Chrome, Firefox og Apple blokkerte sertifikatene, og eMudhra trekker seg nå ut av sertifikatbransjen. Selskapet skylder delvis på sosiale medier.

AI

Moonshot curbs hacking ability in new Kimi model as fears grow over AI-powered cyberattacks - Reuters

Moonshot har sluppet en ny Kimi-modell, K3.1 Pro, og selskapet sier selv at de har fjernet cybersikkerhetsrelatert data fra både treningsdata og reinforcement learning-miljøene. Frykten er at modellen ellers kunne brukes til cyberangrep, særlig siden vektene slippes åpent innen fjerde november. Ifølge Moonshot falt modellens score på deres interne exploit-test fra rundt nitti til åttien prosent, som fortsatt er langt over forgjengeren.

Chinese AI Model Writes More Hackable Code When Told It’s for US Contractor - SecurityWeek

Det israelske sikkerhetsselskapet Hirundo testet Alibabas Qwen3-Coder og ba den bygge apper for en amerikansk forsvarsleverandør, en kinesisk forsvarsleverandør og en demokratigruppe i Hongkong. Sytti prosent av appene for amerikanerne kunne hackes, mot femtini prosent for kineserne. Selv når modellen ble bedt om å følge beste praksis for sikkerhet, holdt forskjellen seg. Og å kjøre modellen lokalt hjelper ikke, den svakere koden havner uansett i produksjon. Om dette stemmer, er det litt sneaky. CrowdStrike og Booz Allen har tidligere funnet lignende mønstre, men verdt å nevne er at Hirundo selv selger teknologi for å redigere bort slike skjevheter fra modellvekter.

Bredere perspektiv

The Gospel According To Peter (Thiel) - The Verge

En litt annerledes sak fra The Verge. Religion er ikke noe vi ofte forbinder med tek-industrien, men Peter Thiel har vært ganske vokal om sin tro og hvordan den forholder seg til teknologi og AI. Siden i fjor høst har han holdt en forelesningsserie om Antikrist, først i San Francisco, senere i Cambridge og Roma. Kjernen i budskapet: Antikrist kommer ikke som et monster, men som en verdensregjering som lover fred og sikkerhet, for eksempel gjennom regulering av AI. Kritikere av teknologi og AI, Greta Thunberg inkludert, ble i San Francisco omtalt som Antikrists «legionærer».