PHP släpper nöduppdateringar för kritiska sårbarheter som möjliggör fjärrkörning av kod

brown padlock on brown wooden fence — Georg Bommeli / Unsplash

PHP-projektet har släppt akuta säkerhetsuppdateringar för att åtgärda två kritiska sårbarheter i PHP-miljön, gemensamt benämnda PHP2Shell, vilka tillåter angripare utan användarkonto att köra godtycklig kod på webbservern. Sårbarheterna, identifierade som CVE-2026-109618 och CVE-2026-109619, har ett CVSS-betyg på 9,2 vardera och påverkar nästan alla versioner av PHP tillbaka till version 5.4. Upptäckten tillskrivs Wiz Research, Calif och OpenAI:s Codex Security-team.

Den underliggande faran med dessa fel ligger i själva PHP-motorn snarare än i applikationskoden, vilket innebär att även säkert skriven kod eller enkla sidor är sårbara. Enligt säkerhetsmeddelandet från PHP är alla installationer som tillhandahåller webbtjänster utsatta, inklusive PHP-FPM, Apache mod_php, php-cgi, FrankenPHP och LiteSpeed. System som använder Apache mod_php bedöms löpa störst risk, eftersom det finns en demonstrerad attackmetod som kräver endast en enda begäran utan autentisering och exekveras innan applikationskoden startar.

För CVE-2026-109618 anger PHP:s analys att FPM är sårbart även om ingen fullständig exploit ännu demonstrerats, medan CVE-2026-109619 har bevisats kunna köra kod på både mod_php och PHP-FPM, även om vägen via FPM kräver viss interaktion med applikationen. Utöver kodkörning kan angripare läsa minnet från PHP-workerprocesser utan att först köra kod, vilket kan exponera lösenord, autentiseringstoken, API-nycklar och certifikat från andra begäranden. Forskare har demonstrerat denna minnesläsning på applikationer de inte kontrollerar.

Systemadministratörer uppmanas att omedelbart uppdatera PHP-miljön och därefter starta om Apache, PHP-FPM och alla pågående PHP-workers. Det är viktigt att notera att uppdatering av applikationer som WordPress eller Laravel inte uppdaterar PHP-miljön, eftersom denna levereras via serverpaket, hostingtjänster eller containeravbilder. För versioner som inte längre får officiella uppdateringar, såsom PHP 7.4, 8.0 och 8.1, har PHP:s säkerhetsteam publicerat källkod för bakåtportering. Version 8.2 når slutet av sitt stöd den 31 december 2026. Linux-distributioner och leverantörer med långtidsstöd kan ha tillämpat patchar i äldre versionsnummer, så kontroll av ändringsloggar efter CVE-nummer rekommenderas.

Efter uppdatering bör konfigurationerna för memory_limit och post_max_size ses över, då patchen inför en hård minnesgräns som omedelbart stoppar processer vid överskridande utan att avslutshanterare körs. PHP betonar att uppdatering är den enda kompletta lösningen. Som tillfälliga åtgärder för CVE-2026-109618 rekommenderas att sätta memory_limit=-1, hålla post_max_size lågt och begränsa begäransstorlek på webbservern eller proxyn, medan RLIMIT_AS eller RLIMIT_DATA bör undvikas. För CVE-2026-109619 bör session.upload_progress.enabled sättas till 0 och alla workers startas om, samt fatal_error_backtraces sättas till 0 på PHP 8.5, även om detta endast skyddar mot specifika sessionsbaserade attackvägar.

Både watchTowr och Cloudflare rapporterar att försök att utnyttja dessa sårbarheter redan har observerats, där angripare modifierat sina nyttolaster för att kringgå Cloudflares WAF-regler. Även om inga bekräftade framgångsrika intrång rapporterats, rekommenderas övervakning efter onormala multipart-begäranden följda av minnesfel eller HTTP 500-fel, onormalt stora PHPSESSID-cookier samt oväntade omstarter av PHP-workers.