PHP släppte idag akuta säkerhetsuppdateringar för två kritiska sårbarheter som låter angripare köra kod på webbservrar utan inloggning. Cloudflare rapporterar att attacker redan pågår.

Sårbarheterna, som kallas php2shell och spåras som CVE-2026-109618 och CVE-2026-109619, har fått den näst högsta allvarlighetsgraden (CVSS 9.2 av 10). De påverkar alla PHP-installationer som hanterar webbförfrågningar, inklusive PHP-FPM, Apache mod_php och andra vanliga konfigurationer.

Vad har hänt?

Information om sårbarheterna läckte ut den 20 oktober, en dag innan planerad publicering. PHP:s säkerhetsteam svarade med att släppa patchar den 21 oktober kl 14:00 UTC. Säkerhetsforskare från Wiz och Calif.io upptäckte och rapporterade bristerna.

Cloudflares teknikchef Dane Knecht bekräftade att företaget "ser tidiga attacker växa fram" och att de uppdaterar sina skydd löpande. watchTowr uppger att de lyckats återskapa attacken mot CVE-2026-109618.

Vem är drabbad?

PHP driver 69 procent av alla webbplatser med känd serverteknologi, enligt W3Techs. Det inkluderar WordPress, Drupal, Joomla och Magento. Säkerhetsforskare uppskattar att över 1,3 miljoner servrar är exponerade mot internet.

Patchade versioner finns för PHP 8.2 till 8.5. Äldre versioner som PHP 5.x till 8.1 har nått end-of-life och får inga officiella fixar.

Vad ska svenska företag göra?

PHP-utvecklaren Gina Peter Banyard är tydlig: "Det enda som hjälper är att patcha eller uppgradera PHP." Konfigurationsinställningar ger inget skydd.

Företag som inte kan patcha omedelbart bör överväga att isolera sina webbapplikationer från internet tills uppdateringen är på plats. Cloudflare har aktiverat WAF-regler för kända attackvektorer, men beskriver det som en nödlösning.

Källa: Tenable, PHP Security Team