Kritiska säkerhetsbrister i PHP – cyberattacker har upptäckts

Två allvarliga säkerhetsbrister i programmeringsspråket PHP har utlöst en omfattande internationell säkerhetsinsats. Bristerna kan göra det möjligt för angripare att ta kontroll över webbservrar och komma åt känslig information. Säkerhetsföretaget Cloudflare har redan registrerat angreppsförsök mot de aktuella sårbarheterna.

PHP används på en majoritet av världens webbplatser. Säkerhetsbristerna har identifierats som CVE-2026-109618 och CVE-2026-109619. PHP:s säkerhetsgrupp har gett båda allvarlighetsgraden 9,2 av 10 enligt CVSS version 4.0. Incidenten beskrivs av säkerhetsexperter som en av de allvarligaste hittills.

Säkerhetspolisen och Försvarets radioanstalt har informerats om händelsen. Även cybersäkerhetsmyndigheter i flera andra länder har uppmärksammat riskerna och utfärdat rekommendationer till organisationer som använder PHP.

Den 21 oktober publicerade PHP:s utvecklingsgrupp fyra säkerhetsuppdateringar för versionerna 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Uppdateringarna offentliggjordes omkring klockan 16.00 på onsdagen, svensk tid. Därmed blev information om de åtgärdade bristerna tillgänglig för allmänheten, inklusive personer som kan försöka utnyttja dem.

PHP Foundation har redovisat att uppdateringarna ursprungligen var planerade till den 22 oktober. Efter att information om sårbarheternas identifikationsnummer börjat spridas på internet den 20 oktober omkring klockan 15.00 UTC beslutade organisationen att tidigarelägga publiceringen med ett dygn.

En av sårbarheterna gäller PHP:s hantering av situationer där en serverprocess når sin tillåtna minnesgräns. PHP Foundation har förklarat att ett fel kan orsaka användning av skadad minnesinformation och ge angripare möjlighet att köra egen programkod. De första tecknen på problemet upptäcktes redan under ett säkerhetsarbete 2024, men utvecklarna kunde då inte identifiera någon konkret metod för att genomföra ett angrepp.

Den andra bristen handlar om att interna hänvisningar till minne som redan har frigjorts kan finnas kvar efter ett programfel. PHP Foundation har bekräftat att säkerhetsforskare demonstrerat hur sårbarheten kan användas för att köra kod på en webbserver.

PHP:s säkerhetsgrupp bedömer att webbservrar som använder Apache-modulen mod_php är särskilt utsatta. Där kan en av bristerna utnyttjas utan att angriparen först behöver logga in, och innan webbplatsens egen programkod börjar köras.

Säkerhetspublikationen BleepingComputer har redovisat att även servermiljöerna PHP-FPM, php-cgi, FrankenPHP och LiteSpeed omfattas. Publikationen har också beskrivit hur PHP:s utvecklare tillhandahållit begränsade säkerhetsrättningar för versionerna 7.4, 8.0 och 8.1. Dessa är avsedda för användare som själva bygger PHP från källkod eller saknar leverantörsstöd.

IT-säkerhetsexperten Karl Emil Nikka bedömer att det kommer att ta månader innan samtliga berörda servrar har uppdaterats. Under tiden finns en möjlighet för nätkriminella att undersöka bristerna och försöka angripa system som fortfarande är sårbara.

Cloudflare meddelade att företaget automatiskt aktiverade skyddsregler den 21 oktober klockan 03.02 UTC. Åtgärden omfattade kunder med företagets webbapplikationsbrandvägg, även användare av gratisversionen.

Företaget har dessutom bekräftat att angreppstrafik riktad mot sårbarheterna har observerats. Angripare har förändrat sina metoder i försök att ta sig förbi skyddsreglerna. Cloudflare har därför även utvecklat en funktion som granskar både inkommande förfrågningar och serverns svar för att upptäcka attacker och hindra känslig information från att lämna webbservern.

För vanliga internetanvändare handlar riskerna framför allt om information som har lagrats på webbplatser. Karl Emil Nikka förklarar att ett intrång kan ge angripare tillgång till exempelvis personuppgifter, mejladresser, telefonnummer och uppladdade bilder.

Privata fotografier som en användare tidigare har laddat upp på en webbplats kan därmed hamna hos obehöriga om webbplatsen angrips framgångsrikt.

Däremot bedömer Karl Emil Nikka att risken för att betalkortsuppgifter ska läcka är mindre, eftersom sådana uppgifter normalt omfattas av starkare skydd än annan användarinformation.

Säkerhetsbristerna finns inte i användarnas egna datorer eller mobiltelefoner. Problemen gäller i stället de servrar som driver webbplatserna. Karl Emil Nikka framhåller därför att privatpersoner i regel inte själva kan vidta några åtgärder för att förhindra den aktuella typen av intrång.

WordPress publicerade den 21 oktober en säkerhetsinformation där organisationen klargjorde att bristerna finns i PHP och inte i WordPress egen programkod. Någon särskild uppdatering av WordPress behövs därför inte för att åtgärda just dessa sårbarheter.

För webbplatsägare rekommenderar WordPress att den installerade PHP-versionen kontrolleras genom administrationsgränssnittets menyval Verktyg, Webbplatshälsa, Information och Server. Organisationen har också påpekat att PHP-versioner äldre än 8.2 inte längre får säkerhetsuppdateringar från PHP-projektet och rekommenderar en övergång till nyare versioner.

Karl Emil Nikka betonar att den som använder ett webbhotell behöver uppmärksamma information från sin leverantör. Även den som driver en egen WordPress-webbplats är beroende av att webbhotellet hanterar säkerheten i den bakomliggande servermiljön.

Storbritanniens nationella cybersäkerhetscentrum NCSC har uppmanat organisationer att kartlägga sina PHP-installationer. Myndigheten rekommenderar att internetanslutna system prioriteras och att även produkter där PHP används som en underliggande komponent granskas. Om bristerna inte kan åtgärdas omedelbart bör ansvariga enligt NCSC överväga att tillfälligt stänga av berörda system.

EU:s cybersäkerhetsorganisation CERT-EU publicerade säkerhetsmeddelandet 2026-018 den 20 oktober. Organisationen rekommenderade förberedelser inför uppdateringarna och att internetexponerade PHP-applikationer vid behov isoleras från publika nätverk.

Även Australiens cybersäkerhetsmyndighet Australian Cyber Security Centre utfärdade en kritisk säkerhetsvarning den 21 oktober. Myndigheten uppmanade ansvariga för nätverk och IT-system att genomföra åtgärder för att begränsa riskerna.

Reuters rapporterade den 21 oktober att myndighetswebbplatser i flera länder tillfälligt hade stängts ned som en förebyggande säkerhetsåtgärd efter informationen om sårbarheterna.

Att en webbplats inte går att nå behöver dock inte betyda att den har utsatts för ett intrång. Karl Emil Nikka påpekar att webbplatser också kan tas ur drift tillfälligt för att förhindra angrepp medan säkerhetsarbetet pågår.