Kritiska PHP-sårbarheter kan ge hackare tillgång till webbservrar

Två allvarliga säkerhetsbrister i programmeringsspråket PHP kan göra det möjligt för obehöriga att köra skadlig programkod på webbservrar utan inloggning. PHP:s utvecklingsteam publicerade den 21 oktober 2026 säkerhetsuppdateringar för att åtgärda problemen. Bristerna berör ett stort antal PHP-baserade system och har fått högsta prioritet hos flera internationella cybersäkerhetsorganisationer.

Sårbarheterna har beteckningarna CVE-2026-109618 och CVE-2026-109619. PHP:s säkerhetsteam har klassificerat båda som kritiska med allvarlighetsgraden 9,2 av 10 enligt CVSS version 4.0. Kanadas nationella cybersäkerhetscentrum har identifierat problemen som minneshanteringsfel av typen Use After Free, CWE-416. Bristerna förekommer även under beteckningen php2shell och bedöms av myndigheten som medför särskilda risker för internetanslutna PHP-servrar.

Säkerhetsföretaget Integrity360 meddelade den 21 oktober att problemen omfattar ett brett spektrum av webbplatser och andra system som använder PHP. Bland de berörda plattformarna finns WordPress, Joomla och Magento. Företagets it-säkerhetsexpert Emil Olofsson medverkar i en frågestund där allmänheten kan ställa frågor om säkerhetsbristerna och deras möjliga konsekvenser.

NHS England publicerade samma dag säkerhetsvarningen CC-4875. Den brittiska myndigheten framhöll att angripare kan utnyttja sårbarheterna både för att köra skadlig kod på distans och för att komma åt känsliga uppgifter som lagras i serverns minne. NHS Englands cybersäkerhetsorganisation bekräftade dessutom att säkerhetsforskare demonstrerat fungerande angrepp mot PHP-baserade installationer, bland annat system som använder WordPress, Drupal och Joomla.

Nya Zeelands nationella cybersäkerhetscentrum, NCSC, meddelade den 22 oktober att myndigheten fått rapporter om att säkerhetsbristerna redan utnyttjas aktivt. Organisationer uppmanades därför att undersöka sina system efter tecken på obehörig åtkomst. Myndigheten påpekade även att PHP kan förekomma i brandväggar, nätverksutrustning och inbyggda system, där uppdateringar kan behöva genomföras på andra sätt än på vanliga webbservrar.

Google Clouds säkerhetschef Chris Betz och Google DeepMinds säkerhetsansvariga Raluca Ada Popa meddelade den 21 oktober att de berörda PHP-versionerna sträcker sig från 5.4 till och med 8.5.11. De klargjorde samtidigt att PHP 8.1 och äldre versioner inte längre får säkerhetsuppdateringar från PHP-projektet.

Google Cloud förklarade att företagets egen molnplattform inte är sårbar för bristerna. Däremot kan kunder som använder PHP-baserade applikationer på plattformen fortfarande vara utsatta.

För PHP-versioner som fortfarande omfattas av säkerhetsunderhåll har utvecklingsteamet publicerat uppdateringarna 8.5.12, 8.4.27, 8.3.36 och 8.2.35. EU:s cybersäkerhetsorganisation CERT-EU meddelade att uppdateringarna släpptes den 21 oktober klockan 13.30 UTC. Organisationen rekommenderade omedelbar installation. Om uppdateringarna inte kunde genomföras direkt rekommenderade CERT-EU att berörda internetanslutna applikationer tillfälligt isoleras.

WordPress säkerhetsorganisation betonade den 21 oktober att sårbarheterna finns i PHP och inte i WordPress egen programkod. Ingen särskild WordPress-uppdatering för att åtgärda problemen planeras därför. Webbplatsägare rekommenderades i stället att kontrollera vilken PHP-version deras webbplats använder och kontakta sitt webbhotell angående säkerhetsuppdateringarna.

För att kontrollera PHP-versionen hänvisade WordPress till administrationspanelens avsnitt Verktyg, Webbplatshälsa, Information och Server. Där finns uppgifter om den servermiljö som webbplatsen använder.

Även amerikanska universitet har utfärdat rekommendationer med anledning av säkerhetsbristerna. Carnegie Mellon University varnade den 21 oktober för att sårbarheterna också kan finnas i kontrollpaneler, programbehållare och nätverksutrustning med egna PHP-installationer. Universitetet klassificerade uppdateringsbehovet som brådskande.

University of Toronto framhöll samma dag att systemadministratörer kan granska PHP:s felloggar och webbservrarnas loggar för att identifiera misstänkt aktivitet. Universitetets säkerhetsorganisation betonade samtidigt att övervakningen inte ersätter installation av säkerhetsuppdateringarna.