Säkerhet · 4 november 2026
Kritiska sårbarheter i PHP kan tillåta fjärrstyrning av servrar
Programmeringsspråket PHP har drabbats av en grupp allvarliga sårbarheter under namnet PHP2Shell som kan göra det möjligt för obehöriga tredje parter att köra program på servrar.
Sårbarheterna, som identifieras som CVE-2026-109618 och CVE-2026-109619, finns i själva grunden av PHP snarare än i specifika webbplatser eller tillägg. Eftersom PHP enligt Wiz Research stöder ungefär 70 procent av världens webbplatser är den potentiella påverkan mycket omfattande. PHP-utvecklarna har gett sårbarheterna en kritisk allvarlighetsgrad med en poäng på 9,2 enligt CVSS v4.0.
Utvecklingsteamet för PHP släppte korrigerade versioner den 21 oktober, specifikt versionerna 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Myndigheter som CISA i USA, IPA och JPCERT/CC i Japan har utfärdat varningar och uppmanat organisationer att installera uppdateringarna omedelbart. CISA lade den 26 oktober till båda sårbarheterna i sin katalog över kända utnyttjade sårbarheter, vilket innebär att det finns tillförlitliga bevis på försök till utnyttjande i verkliga miljöer.
Problemet är särskilt allvarligt eftersom attacker kan ske innan inloggningsfunktioner hinner aktiveras. För CVE-2026-109618 har en väg demonstrerats via Apache mod_php där anfallaren når systemet innan applikationskoden startar, medan fjärrkörning av kod via applikationsvägar har bekräftats för PHP-FPM. Detta innebär att enbart förekomsten av inloggningssystem inte garanterar säkerhet. Dessutom kan anfallare potentiellt läsa lösenord, autentiseringstokens och API-nycklar direkt från minnet även om ingen skadlig programvara körs.
Hotjägarteamet på Tanium har i en laboratoriemiljö bekräftat att kodexekvering kan uppnås med enbart HTTP-förfrågningar för CVE-2026-109619 genom att använda en okorrigerad version 8.5.11 av PHP med Apache mod_php. Även om många offentliga demonstrationskoder rapporterats vara icke-fungerande, bedöms avancerade angripare kunna anpassa metoderna för att lyckas.
I Japan har flera organisationer vidtagit förebyggande åtgärder genom att tillfälligt stänga ner tjänster för säkerhetskontroller. Detta har inkluderat hemsidor och appar för regionala banker, kommunala system för sökning av offentliga handlingar samt vissa funktioner hos webbhotell och webbdesignföretag. Samtliga dessa avbrott har beskrivits som förebyggande åtgärder och inte som ett resultat av faktiska attacker.