Två kritiska PHP-sårbarheter hotar miljontals webbplatser

Två allvarliga säkerhetsbrister har upptäckts i programmeringsspråket PHP, som används av en stor del av världens webbplatser. Sårbarheterna kan göra det möjligt för angripare att köra kommandon på servrar utan användarnamn eller lösenord eller någonting annat. Miljontals webbplatser, däribland ett stort antal svenska, kan vara berörda.

PHP:s säkerhetsgrupp meddelade den 20 oktober 2026 att båda sårbarheterna har fått allvarlighetsgraden 9,2 av 10 på CVSS-skalan, version 4.0. EU:s cybersäkerhetsfunktion CERT-EU identifierade den 21 oktober bristerna som CVE-2026-109618 och CVE-2026-109619.

CERT-EU varnade samtidigt för att PHP-installationer från version 5 och framåt kan påverkas. Vilka versioner som faktiskt omfattas hade ännu inte kunnat fastställas tekniskt. PHP:s säkerhetsgrupp meddelade att uppgifter om berörda versioner och tillgängliga korrigeringar skulle presenteras i samband med en säkerhetsuppdatering.

Uppdateringen väntas publiceras klockan 16. När korrigeringarna offentliggörs kan även tekniska detaljer om säkerhetsbristerna bli tillgängliga. IT-säkerhetsexperten David Jacoby varnar för att cyberkriminella då snabbt kan försöka utnyttja sårbarheterna innan webbplatsägare och företag hunnit installera uppdateringarna.

David Jacoby fick kännedom om problemen under tisdagen. Sedan dess har uppmärksamheten ökat inom IT-säkerhetsbranschen. Han bedömer att säkerhetsbristerna är mycket allvarliga och att miljontals svenska webbplatser kan vara berörda.

Bland de plattformar som potentiellt påverkas finns WordPress, Magento, Joomla och Drupal. Även MediaWiki, som bland annat används av Wikipedia, omfattas av den möjliga exponeringen.

PHP:s omfattande användning framgår av statistik från webbanalysföretaget W3Techs. Den 13 oktober användes PHP på 69,7 procent av alla webbplatser där serverns programmeringsspråk kunde identifieras. Bland världens en miljon högst rankade webbplatser var andelen 64,6 procent.

Statistik från W3Techs den 19 oktober visade dessutom att 27,0 procent av de identifierade PHP-installationerna använde PHP 7, medan 7,7 procent fortfarande körde PHP 5. Andelen installationer med PHP 8 uppgick till 65,2 procent. Uppgifterna visar hur utbredda äldre versioner är, men fastställer inte vilka installationer som faktiskt är sårbara.

Säkerhetsföretaget Tenable meddelade den 21 oktober att korrigeringarna väntades omfatta de PHP 8-versioner som fortfarande har officiellt stöd. Företaget framhöll att organisationer med äldre installationer därför kan behöva genomföra en uppgradering till en nyare huvudversion för att kunna åtgärda säkerhetsbristerna.

Den brittiska cybersäkerhetsmyndigheten NCSC uppmanade samma dag organisationer att identifiera samtliga system som använder PHP. Myndigheten rekommenderade att servrar och tjänster som kan nås direkt från internet prioriteras. Organisationer bör även undersöka om externa leverantörer har publicerat säkerhetsuppdateringar för produkter som innehåller PHP.

Säkerhetsföretaget Wordfence har särskilt uppmärksammat att WordPress automatiska uppdateringsfunktion inte installerar korrigeringar för PHP. Webbplatsägare behöver därför kontrollera att PHP uppdateras separat på servern, exempelvis genom webbhotellets administrationsverktyg.

David Jacoby varnar för att ett intrång på en server kan ge angripare möjlighet att förändra användaruppgifter och lösenord, installera utpressningsprogram och ta sig vidare till andra delar av ett företags IT-miljö. Vilka system som kan påverkas beror på vilken åtkomst angriparen lyckas få.

Han framhåller även att artificiell intelligens kan underlätta utvecklingen av verktyg som används för att angripa sårbara servrar. Enligt David Jacoby är det därför viktigt att säkerhetsbristerna åtgärdas snabbt för att begränsa cyberkriminellas möjligheter att utnyttja dem.

Det australiska cybersäkerhetscentrum ACSC klassade den 21 oktober händelsen som en kritisk säkerhetsvarning. Myndigheten meddelade samtidigt att den vid tidpunkten för publiceringen inte kände till någon bekräftad aktiv exploatering av de två sårbarheterna.

Säkerhetsföretaget watchTowr konstaterade den 20 oktober att någon officiellt bekräftad teknisk beskrivning av bristerna ännu inte fanns tillgänglig. Företaget hade börjat kartlägga PHP-installationer i sina kundmiljöer för att kunna avgöra vilka system som riskerade att vara exponerade när ytterligare information publicerades.

David Jacoby rekommenderar företag att tillfälligt begränsa åtkomsten till internettillgängliga tjänster som inte är nödvändiga, fram till dess att säkerhetsuppdateringarna har installerats. Han uppmanar även organisationer att kontakta sina IT-leverantörer och kontrollera systemen för tecken på obehörig aktivitet.

Enligt David Jacoby följer IT-säkerhetsbranschen utvecklingen noggrant. Han betonar att det är viktigt att installera korrigeringarna innan angripare hinner utnyttja de offentliggjorda säkerhetsbristerna.