Två kritiska PHP-sårbarheter öppnar för omfattande cyberangrepp

Två allvarliga säkerhetsbrister i programmeringsspråket PHP har lett till omfattande angreppsförsök mot webbplatser världen över. Cloudflares vd meddelade på X att företaget registrerade miljontals försök att utnyttja sårbarheterna redan under de första timmarna efter att informationen offentliggjordes. Sveriges nationella cybersäkerhetscenter uppmanar berörda verksamheter att omedelbart installera säkerhetsuppdateringar eller koppla bort oskyddade system från internet.

PHP:s utvecklargrupp publicerade den 21 oktober 2026 fyra säkerhetsuppdateringar: PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Uppdateringarna åtgärdar två sårbarheter som PHP:s säkerhetsgrupp registrerat som CVE-2026-109618 och CVE-2026-109619. Båda har klassificerats som kritiska och tilldelats allvarlighetsgraden 9,2 av 10 enligt säkerhetsskalan CVSS 4.0.

Säkerhetsföretaget Wiz Research har demonstrerat att bristerna kan utnyttjas för att köra skadlig kod på servrar som använder WordPress, Drupal och Joomla. Angreppen kan genomföras utan att angriparen först behöver logga in. Företagets undersökningar visar också att lösenord, åtkomstnycklar och andra känsliga uppgifter kan hämtas direkt från PHP-processens minne utan att angriparen behöver ta fullständig kontroll över servern.

Wiz bedömer att omkring 70 procent av världens webbplatser använder PHP. Företaget beskriver de aktuella säkerhetsbristerna som några av de allvarligaste som upptäckts i programmeringsspråket och möjligen inom mjukvara över huvud taget.

Säkerhetsföretaget Calif identifierade båda sårbarheterna redan i augusti under en granskning av PHP som finansierades av OpenAI. Vid undersökningen användes OpenAI:s AI-modell GPT-5.6 Sol modell. OpenAI meddelade den 21 oktober att även Wiz, oberoende av Calif, hade identifierat och rapporterat de båda bristerna. PHP:s utvecklare ansvarade därefter för att färdigställa säkerhetskorrigeringarna.

Även Google har redovisat användning av artificiell intelligens i säkerhetsarbetet. Google Clouds säkerhetschef Chris Betz och Raluca Ada Popa, ansvarig för Gemini Security vid Google DeepMind, meddelade att modellen Gemini 4 Argon användes vid identifieringen av bristerna. Modellen bidrog även till utvecklingen av tester för att utnyttja sårbarheterna, angreppsdetektering och kontroll av de framtagna säkerhetsuppdateringarna.

Cloudflare har gett de båda bristerna det gemensamma namnet PHP2Shell. Företaget meddelade att webbservrar som använder PHP 5.4 eller senare berörs. Google Cloud har närmare preciserat de sårbara versionerna till PHP 5.4 till och med PHP 8.5.11.

Cloudflare började utveckla skyddsregler för sin webbapplikationsbrandvägg redan i början av oktober. Företaget aktiverade reglerna ungefär nio timmar innan informationen om sårbarheterna offentliggjordes den 21 oktober.

Google Cloud meddelade samtidigt att uppdaterade PHP-miljöer distribueras till bland annat tjänsterna App Engine och Cloud Run. Kunder som använder egna containeravbilder behöver däremot själva bygga om och distribuera sina applikationer på nytt för att installera korrigeringarna.

För äldre PHP-installationer finns ytterligare begränsningar. Google Cloud har framhållit att PHP 8.1 och tidigare versioner inte längre omfattas av PHP-projektets ordinarie support och därför inte får några korrigeringar därifrån. PHP:s utvecklargrupp har dessutom meddelat att stödet för PHP 8.2 upphör den 31 december 2026. Efter det datumet kommer inte heller den versionen att få ytterligare säkerhetsuppdateringar från projektet.

OpenAI har presenterat ett särskilt kontrollverktyg som systemadministratörer kan använda för att undersöka installerade PHP-versioner. Verktyget är avsett att identifiera potentiellt sårbara installationer och visa vilka uppdateringar som behöver genomföras.

Sveriges nationella incidenthanteringsfunktion CERT-SE publicerade den 21 oktober en rekommendation om att organisationer även ska granska sina PHP-baserade system efter tecken på intrång. Myndigheten framhöll att säkerhetsuppdateringar behöver kompletteras med kontroller av om sårbarheterna redan har utnyttjats.

CERT-SE meddelade också att CVE-2026-109618 och CVE-2026-109619 vid publiceringen av myndighetens säkerhetsmeddelande ännu inte ingick i tjänsten ANTS, som används för information om tekniska sårbarheter.

Redan den 20 oktober publicerade Europeiska unionens cybersäkerhetsfunktion CERT-EU säkerhetsmeddelandet 2026-018. Organisationer rekommenderades där att identifiera berörda PHP-installationer och förbereda nödvändiga åtgärder innan säkerhetsuppdateringarna blev tillgängliga.