PHP utgir nødoppdateringer for kritiske sårbarheter

Facebook login screen on a computer monitor — Zulfugar Karimov / Unsplash

PHP har utgitt nødoppdateringer for å tette to kritiske sårbarheter i PHP runtime, samlet kalt PHP2Shell. Disse sårbarhetene gjør det mulig for angripere uten brukerkonto å kjøre kode på webservere.

Sårbarhetene, identifisert som CVE-2026-109618 og CVE-2026-109619, har begge en CVSS v4.0 score på 9.2. De ble oppdaget av Wiz Research, Calif og Codex Security teamet fra OpenAI. Problemet ligger i selve PHP motoren og ikke i applikasjonskoden, noe som betyr at selv nettsteder med sikker kode eller enkle sider er utsatt.

Nesten alle versjoner av PHP tilbake til versjon 5.4 er berørt. Oppdateringer er tilgjengelige i versjonene 8.5.12, 8.4.27, 8.3.36 og 8.2.35. For versjonene 7.4, 8.0 og 8.1, som ikke lenger mottar offisielle oppdateringer, har PHP sikkerhetsteamet publisert kildekode for tilbakeportering.

Alle PHP installasjoner som leverer webinnhold er i risikosonen, inkludert PHP-FPM, Apache mod_php, php-cgi, FrankenPHP og LiteSpeed. Systemer som bruker Apache mod_php anses som mest utsatt, da det finnes demonstrasjoner av angrep som krever kun én forespørsel uten autentisering. For CVE-2026-109619 er det bevist at kode kan kjøres på både mod_php og PHP-FPM.

Angripere kan også lese minnet til PHP worker prosesser uten å kjøre kode først. Dette kan eksponere passord, autentiseringstokener, API nøkler og sertifikater fra andre forespørsler. Forskere har demonstrert denne minneavlesningen på applikasjoner de ikke kontrollerer.

WatchTowr og Cloudflare rapporterer at de allerede har sett forsøk på angrep. Cloudflare har observert at angripere endrer nyttelasten for å unngå deres regler for webapplikasjonsbrannmur. Det er foreløpig ingen bekreftede rapporter om vellykkede inntrengninger.

Administratorer oppfordres til å oppdatere PHP runtime umiddelbart og starte Apache, PHP-FPM og alle aktive PHP workers på nytt. Det presiseres at oppdatering av applikasjoner som WordPress eller Laravel ikke oppdaterer selve PHP runtime, da dette leveres via serverpakker, hostingleverandører eller containerbilder.

Som midlertidige tiltak for CVE-2026-109618 anbefales det å sette memory_limit til -1 og holde post_max_size lav. For CVE-2026-109619 anbefales det å sette session.upload_progress.enabled til 0. For PHP 8.5 bør fatal_error_backtraces settes til 0. PHP understreker at full oppdatering er den eneste komplette løsningen.