#124 - PHP2Shell, CPR-læk og Reverse Engineer Anything

AI gør det hurtigere at finde gamle sikkerhedshuller. Kan udviklere og vedligeholdere følge med, når hullerne skal lukkes?

Kasper og Jonas diskuterer CPR-lækket, PHP2Shell og det virale REA-projekt. Vi går fra hukommelsesfejl og adgangskontrol til spørgsmålet om, hvad en kodeagent egentlig får ud af specialværktøjer til reverse engineering.

I episoden

• Hvorfor opdagelse og udnyttelse af et sikkerhedshul er to forskellige opgaver.
• Hvad CPR-sagen siger om adgang, identitet og arkitektur.
• Hvorfor korrekt applikationskode ikke beskytter mod alle fejl i runtime'en.
• Hvad REA giver ud over en almindelig agent — og hvor en kopi af software stadig kan fejle.
• Gamle drivere, self-hosting og forventningen om selv at kunne ændre sit software.

Præciseringer til samtalen

• PHP2Shell-fejlene har CVSS v4-score 9,2; undervejs nævner vi 8,4 og kalder skalaen CVE.
• Remote code execution betyder kodekørsel med den berørte proces' rettigheder. Det giver ikke automatisk root-adgang.
• PHP er meget udbredt, men procenttal for kendte backendteknologier er ikke det samme som andelen af alle websites, der er kompromitteret. Vores løse procenttal bør ikke bruges som en præcis opgørelse.
• CPR kan bruges som identifikator. Kendskab til et CPR-nummer beviser ikke personens identitet; tilfældige ID'er erstatter heller ikke adgangskontrol. MitID var ifølge Digitaliseringsstyrelsen ikke kompromitteret i CPR-hændelsen.
• REA hedder Reverse Engineer Anything. Native analyse bruger eksterne værktøjer som Ghidra, Hopper eller IDA. Observeret API-adfærd giver ikke i sig selv adgang til backendens kode eller bevis for en komplet kopi.

Optaget 27. oktober 2026 før det planlagte samråd. Vi omtaler derfor samrådet som kommende.

Links og kilder

• PHP: officiel sikkerhedsmeddelelse og opfølgninger
• PHP Foundation: opdagelse, rettelse og koordinering
• CPR-administrationen: hændelsen
• Folketinget: tidslinje for CPR-hændelsen (svar 21)
• Folketinget: opslagsloft og overvågning (svar 20)
• REA — Reverse Engineer Anything
• Coolify
• Verbos

Har du en konkret erfaring fra cybersikkerhed eller reverse engineering, som vi bør undersøge? Skriv til os — vi vil gerne høre fra mulige gæster.

Verbos er podcasten fra maskinrummet med Kasper Junge og Jonas Høgh Kyhse-Andersen om AI og softwareudvikling.